Cloudflare 보안 감사 스킬이 지난 한 주 동안 GitHub에서 급상승했다. 2026년 11월 13일 기준, 이 Cloudflare 오픈소스 프로젝트는 약 71,224개의 스타와 4,736개의 포크를 기록했고, 2026년 11월 12일 한 주에만 약 11,507개의 스타가 새로 늘어나 그 주 GitHub에서 가장 빠르게 스타를 모은 저장소 중 하나가 됐다. 저장소는 2026년 6월 18일에 만들어졌고 MIT 라이선스로 공개됐다. 클릭 한 번으로 보고서를 내주는 스캐너가 아니다.
이게 어떤 도구이고, 누구를 위한 것인가
코딩 에이전트용 스킬이다. Markdown 지침 한 묶음과 의존성이 없는 검증 스크립트 두 개로 이뤄져 있다. 설치한 뒤 코딩 에이전트에게 코드베이스를 향해 "security audit this codebase"라고 한마디 하면, 스킬이 그 트리거 문구에 자동으로 활성화돼 여섯 단계로 감사를 진행한다. 정찰 단계에서는 아키텍처와 신뢰 경계를 그리고 커버리지 체크리스트를 기록한다. 커버리지 헌팅 단계에서는 격리된 헌터들이 병렬로 취약점을 찾는다. 후보 검증 단계에서는 완전히 새로운 검증 에이전트가 각 발견을 반증하려 한다. 구조화 출력 단계에서는 결론을 findings.json에 confirmed, needs_validation, rejected 세 가지로 쓰고 스키마로 검증한다. 독립 검토 단계에서는 또 다른 에이전트가 각 결론의 소스 코드 근거를 대조한다. 마지막으로 REPORT.md를 포함한 중립적인 보고서가 생성된다.
설치 전에 먼저 확인할 세 가지 조건
첫째, 도구 호출을 지원하고 병렬 서브 에이전트를 파생할 수 있는 코딩 에이전트가 필요하다. 이게 없으면 스킬이 돌아가지 않는다. 둘째, 검증 스크립트를 실행할 Node.js와 OS 수준 샌드박스가 필요하다. 외부 네트워크 차단, 자원 제한, 지정된 임시 디렉터리에만 쓰기가 허용되는 환경이다. 샌드박스가 없으면 대상 코드 실행이 수반되는 단서는 직접 실행되지 않고 needs_validation으로 보류된다. 셋째, 한 번의 감사로는 취약점의 절반 정도만 커버된다. 더 촘촘하게 하려면 여러 번 실행하고 이력 체크리스트로 빈틈을 메워야 한다. 취약점을 고쳐주지도 않는다. 증거가 뒷받침된 결론만 내놓을 뿐, 수정은 사람이나 다른 도구의 몫이다. 설치는 명령어 한 줄이면 된다. npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit이며, --global을 붙이면 사용자 수준에 설치된다. 비슷한 발상의 사례로 OpenAI의 Codex Security가 있다. cs 명령줄과 플러그인을 앞세운 제품화 노선으로, 구현 방식이 다르다.
어울리는 사람, 어울리지 않는 사람
이미 코딩 에이전트 워크플로가 있고 자사 코드베이스를 정기적으로 점검하고 싶은 개발자나 작은 팀이라면 설치할 만하다. 비용은 주로 에이전트 실행과 샌드박스 구축에 드는 품이지만, 그 대가로 반복 가능하고 검증 가능한 감사 프로세스를 얻는다. 클릭 한 번으로 보고서를 받고 싶은 비기술 사용자에게는 맞지 않고, 컴플라이언스 감사의 유일한 증거로 삼기에도 맞지 않는다. 그 결론은 개발팀을 위한 엔지니어링 자료이지 컴플라이언스 보증이 아니다.
