Cloudflare、セキュリティ監査を自動化するコーディングエージェントスキルを公開
Cloudflare/Security-Audit-Skill
Cloudflareは、エージェントをセキュリティ監査担当者に変えるコーディングエージェントスキル「security-audit-skill」を公開しました。このスキルは、偵察、カバレッジ主導のハンティング、候補検証、構造化出力、独立した記録検証、ターゲットニュートラルなレポート作成といった6つのフェーズで構成される構造化監査を実行します。このスキルは、Cloudflareの脆弱性発見ハーネスの基盤となり、多段階のシステムへと進化しました。監査プロセスでは、アーキテクチャのマッピング、信頼境界の特定、入力面の分析、過去の証拠の確認、決定論的なカバレッジの評価が行われます。また、カバレッジのギャップを発見するために、独立したハンターが割り当てられ、そのチェックが記録されます。検証された候補は、新鮮な検証担当者によって反証が試みられます。最終的な記録はfindings.jsonに書き込まれ、report-schema.jsonに対して検証されます。独立したエージェントが最終的なソースの主張を検証し、レポート(REPORT.md、FINDINGS-DETAIL.md、NEEDS-VALIDATION.md)が生成されます。このスキルは、Node.js環境で動作し、OSレベルのサンドボックス環境、リソース制限、指定されたスクラッチパスへの書き込みのみを許可する制御が必要です。検証担当者は発見者とは異なるエージェントであることが求められます。
- CloudflareがAIエージェントをセキュリティ監査担当者に変えるコーディングエージェントスキル「security-audit-skill」を公開した
- 偵察、カバレッジ主導のハンティング、候補検証、構造化出力、独立した記録検証、ターゲットニュートラルなレポート作成の6フェーズで監査を実行する
- 検証担当者は発見者とは異なるエージェントであることが求められ、独立エージェントが最終的なソースの主張を検証する仕組みを採る
- Node.js環境で動作し、OSレベルのサンドボックス環境やリソース制限、指定スクラッチパスへの書き込みのみを許可する制御が必要とされる
CloudflareがAIコーディングエージェントをセキュリティ監査担当者に変える「security-audit-skill」を公開した点は、セキュリティ運用の自動化・省人化が新たな競争軸になりつつあることを示す。偵察から検証、記録検証、レポート生成まで6フェーズを構造化し、発見者と検証者を別エージェントにする相互検証設計は、AI監査の信頼性を担保する仕組みとして注目に値する。AIエージェントによる脆弱性発見・検証の実用化が進めば、セキュリティ製品・サービス市場の提供価値と収益構造に影響し得る。