让 AI 检查代码漏洞，难点不只是“能不能找出来”，还在于它有没有漏查、结论能否复核。Cloudflare 开源的 security-audit-skill，正试图把一次性提问变成一套可重复的审计流程；项目单日获得 927 星，也说明开发者正在关注这种更工程化的安全 Agent。
这套 Agent skill——供 AI Agent 执行的任务说明、脚本和输出约定——把审计分成六个阶段。它先梳理架构、输入入口和信任边界，也就是数据或权限跨越安全等级的位置；再把检查范围分派给彼此隔离的 Agent，并用覆盖记录寻找遗漏。每个候选漏洞还会交给新的验证者，任务不是附和，而是尝试推翻它。
最终结果写入固定结构的 JSON，分为已确认、仍需验证和已否定三类，并由独立 Agent 再核对来源。机器可读结果便于程序去重、统计或导入漏洞管理系统。值得看的不只是“AI 会审计”，而是 Cloudflare 把审计做成了有记录、能验证、可重复运行的流程；材料未披露其漏洞发现率或与人工审计的对比。