Cloudflareのセキュリティ監査スキルは、この1週間でGitHubで急上昇している。2026年11月13日時点で、このCloudflareのオープンソースプロジェクトは約71,224スター、4,736フォークを集め、2026年11月12日の週だけで約11,507スターを増やし、その週のGitHubで最もスターを伸ばしたリポジトリの一つとなった。リポジトリは2026年6月18日に作成され、MITライセンスで公開されている。ワンクリックでレポートを出してくれるスキャナーではない。
どんな道具で、誰のためのものか
これはコーディングエージェント用のスキルだ。Markdownの指示一式と、依存関係ゼロの検証スクリプト2本でできている。インストール後、コーディングエージェントにコードベースへ向けて「security audit this codebase」と一言伝えれば、スキルはそのトリガーワードで自動的に起動し、6つのフェーズで監査を進める。偵察フェーズではアーキテクチャと信頼境界を描き、カバレッジのチェックリストを記録する。カバレッジ・ハンティングのフェーズでは、分離されたハンターが並行して脆弱性を探す。候補検証フェーズでは、まったく新しい検証エージェントが各指摘を反証しようとする。構造化出力フェーズでは、結論をfindings.jsonにconfirmed、needs_validation、rejectedの3種で書き込み、スキーマで検証する。独立レビューのフェーズでは、さらに別のエージェントが各結論のソースコード上の根拠を照合する。最後に、REPORT.mdを含む中立的なレポートが生成される。
インストール前に押さえたい3つの条件
第一に、ツール呼び出しに対応し、並行サブエージェントを派生できるコーディングエージェントが必要だ。これがなければスキルは動かない。第二に、検証スクリプトを動かすNode.jsと、OSレベルのサンドボックスが必要だ。外部ネットワーク遮断、リソース制限、指定の一時ディレクトリへの書き込み限定である。サンドボックスがない場合、対象コードの実行を伴う手がかりは直接実行されず、needs_validationとして保留される。第三に、1回の監査でカバーできる脆弱性は約半分にとどまる。より網羅したければ複数回実行し、履歴のチェックリストで穴を埋める。脆弱性を修正する機能もない。出てくるのは証拠付きの結論だけで、修正は人か別のツールが行う。インストールは1つのコマンドだけだ。npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit。--globalを付ければユーザーレベルにインストールできる。同様の考え方にOpenAIのCodex Securityがある。こちらはcsコマンドラインとプラグインによる製品化路線で、実装が異なる。
向いている人、向いていない人
すでにコーディングエージェントのワークフローがあり、自社コードベースの定期健診をしたい開発者や小規模チームには、導入する価値がある。コストは主にエージェントの実行とサンドボックス構築の手間だが、その代わりに再現可能で検証可能な監査プロセスが手に入る。ワンクリックでレポートが欲しいだけの非技術ユーザーには向かない。コンプライアンス監査の唯一の証拠として使うのも向かない。その結論は開発チーム向けのエンジニアリング資料であり、コンプライアンスのお墨付きではない。
