Cloudflare、コーディングエージェント拡張スキル security-audit-skill を公開──6段階の構造化監査フローを自動化
孤立したサブエージェントと検証用バリデーターを組み合わせ、コードベースのセキュリティ脆弱性探索を自動化するオープンソースツール。
リリース: 2026-09-14 · 読了 3 分記事の要約
1. 核心（What）
- コーディングエージェントをセキュリティ監査官に変える拡張スキル「security-audit-skill」が公開された。
- 偵察からレポート出力までの6段階の構造化された監査プロセスを自律的に実行する。
- 発見された脆弱性は confirmed、needs_validation、rejected の3つのステータスで findings.json に記録される。
- 複数回の実行結果が加算される設計になっており、前回のカバレッジや未解決の項目を引き継いで差分を監査できる。
2. 影響（Why）
- 検証プロセスの分離による誤検知の抑制: 発見したエージェントとは別の新規エージェントが検証を行うため、LLM特有のハルシネーションや誤った指摘をフィルタリングし、実証済みの脆弱性だけを抽出できる。
- 国内開発現場におけるレビュー自動化: 国内のWebサービス開発チームでは、コードレビュー前の初期スクリーニングとして本スキルを組み込むことで、セキュリティ負債の混入を防ぐ工数対効果が高い防衛策になる。
3. 根拠・詳細（How）
- 6段階の構造化監査フェーズと検証スクリプト: Architecture.md の作成から始まり、カバレッジ駆動のハント、候補の厳格な検証を経て、Node.js製のゼロ依存バリデーター（validate-findings.cjs等）でスキーマの一貫性を強制する。
- Skills CLI を用いた統合インストール: npx skills add コマンドにより、任意のコーディングエージェントに対して `--global` またはリポジトリ単位で即座にスキルを紐づけて起動できる。
4. 展望・課題（Next）
- サンドボックス環境の必須化: ターゲットコードを実行する際には、外部ネットワーク遮断やリソース制限を伴うOSレベルのサンドボックス環境を自前で用意する必要がある。