Le skill d'audit de sécurité de Cloudflare a décollé sur GitHub cette semaine : au 13 novembre 2026, ce projet open source de Cloudflare compte environ 71 224 étoiles et 4 736 forks, avec à lui seul quelque 11 507 étoiles gagnées dans la semaine du 12 novembre 2026, ce qui en fait l'un des dépôts à la croissance la plus rapide sur GitHub cette semaine-là. Le dépôt a été créé le 18 juin 2026, sous licence MIT. Ce n'est pas un scanner qui sort un rapport en un clic.
De quel outil s'agit-il, et pour qui ?
C'est un skill destiné aux agents de programmation : un ensemble d'instructions en Markdown, plus deux scripts de validation sans aucune dépendance. Une fois installé, il suffit de dire à un agent de programmation, face à la base de code, « security audit this codebase » : le skill s'active sur ce mot déclencheur et mène l'audit en six phases. En phase de reconnaissance, il dessine l'architecture et les frontières de confiance et établit une liste de couverture ; en phase de chasse exhaustive, des chasseurs isolés cherchent les failles en parallèle ; en phase de validation des candidats, un tout nouvel agent de validation tente de réfuter chaque découverte ; en phase de sortie structurée, les conclusions sont écrites dans findings.json sous trois formes — confirmed, needs_validation ou rejected — et vérifiées par un schéma ; en phase de relecture indépendante, un autre agent contrôle les preuves dans le code source derrière chaque conclusion ; enfin, un rapport neutre est produit, dont REPORT.md.
Trois conditions à voir clair avant d'installer
Premièrement, il faut un agent de programmation qui prend en charge les appels d'outils et peut lancer des sous-agents en parallèle — sans cela, le skill ne tourne pas. Deuxièmement, il faut Node.js pour exécuter les scripts de validation, ainsi qu'un bac à sable au niveau du système d'exploitation : pas de réseau sortant, des ressources limitées, et l'écriture limitée à un répertoire temporaire désigné. Sans bac à sable, les pistes qui impliquent d'exécuter le code cible sont mises en attente comme needs_validation au lieu d'être exécutées directement. Troisièmement, un seul audit ne couvre qu'environ la moitié des failles ; pour une couverture plus complète, il faut le lancer plusieurs fois et combler les lacunes avec la liste d'historique. Il ne corrige pas non plus les failles : il ne produit que des conclusions étayées par des preuves, et la correction revient à une personne ou à un autre outil. L'installation tient en une seule commande : npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit, et l'option --global permet de l'installer au niveau utilisateur. Une idée voisine est celle de Codex Security d'OpenAI, qui suit une voie produit avec la ligne de commande cs et un plugin — une implémentation différente.
À qui il convient, à qui il ne convient pas
Pour les développeurs et les petites équipes qui ont déjà un flux de travail avec un agent de programmation et veulent un bilan régulier de leur propre base de code, l'installation vaut le coup : le coût tient surtout à l'effort d'exécution de l'agent et de mise en place du bac à sable, en échange d'un processus d'audit répétable et vérifiable. Il ne convient pas aux utilisateurs non techniques qui veulent simplement un rapport en un clic, ni comme seule preuve d'un audit de conformité — ses conclusions sont un document d'ingénierie destiné à une équipe de développement, pas une attestation de conformité.
