Trova i buchi
prima degli altri

Si chiama security-audit ed è la skill da cui Cloudflare è partita per costruire il suo sistema interno di ricerca delle vulnerabilità. L'ha pubblicata a giugno con la licenza MIT e su GitHub ha superato le 35.000 stelle.

I numeri li racconta Cloudflare nel post che accompagna la skill. Il sistema nato da lei, passato su 128 repository, ha tirato fuori 20.799 possibili problemi. Circa 12.057 hanno superato la validazione. Aggiunti i risultati di un altro strumento interno e tolti i doppioni, 7.245 problemi sono arrivati ai team come cose da sistemare.

Cloudflare precisa che vengono da un esperimento isolato sul suo codice. Non sono vulnerabilità aperte nei prodotti che usi tutti i giorni.

Trasforma il tuo agente in un revisore di sicurezza che lavora a squadre. Ogni agente ha un compito solo e non vede il lavoro degli altri.

1. La mappa. Un gruppo di agenti studia l'app: com'è fatta, dove entrano i dati e dove passa il confine fra chi può fare cosa. Ne esce un piano di copertura, zona per zona.
2. I cacciatori. Per ogni zona e ogni tipo di attacco parte un agente che prova a rompere il codice. Accessi e login, dati degli utenti, servizi esterni e webhook, dipendenze, configurazione del cloud. Se la tua app usa l'AI c'è anche la prompt injection. Altri agenti controllano dove non è passato nessuno.
3. Il verificatore. Ogni problema trovato passa a un agente nuovo che ha un compito solo: dimostrare che non esiste. Chi controlla un problema non è mai chi l'ha trovato.
4. Le schede. Ogni problema finisce in una di tre colonne: confermato, da verificare o scartato. Un controllo automatico verifica che ogni scheda sia completa.
5. Il secondo controllo. Altri agenti nuovi rileggono il codice e verificano quello che c'è scritto in ogni scheda.
6. Il report. Tre file: REPORT.md con il quadro, FINDINGS-DETAIL.md con il dettaglio e NEEDS-VALIDATION.md con i dubbi aperti.

Ogni problema confermato arriva con il percorso nel codice, il file e la riga, il risultato osservato, la gravità e la correzione più piccola che lo chiude. La correzione la descrive: il tuo codice non lo tocca.

Ti servono Node.js e un agente che sappia lanciare sotto-agenti in parallelo, come Claude Code. Apri il terminale nella cartella del progetto e lancia:

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

Il programma ti chiede in quali agenti installarla: scegli Claude Code. Così la skill vale per quel progetto. Se la vuoi in tutti i progetti, aggiungi --global:

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global

Poi apri una sessione nuova di Claude Code. Il repository giusto è security-audit-skill dell'account cloudflare: controlla l'indirizzo prima di installare.

Una nota sul codice che gira. Per provare un problema la skill può far partire build e test della tua app. Lo fa solo dentro un ambiente isolato senza internet. Se il tuo computer non lo offre, lavora leggendo il codice e lascia i casi dubbi fra quelli da verificare. Per un primo audit va benissimo così.

Salva il lavoro in corso con un commit, apri Claude Code nella cartella dell'app e incolla questo. Più le dici chi usa l'app e cosa può fare ognuno, meglio sa dove cercare.

Fai un security audit completo di questo progetto con la skill security-audit, profilo standard.
L'app è [cosa fa, per esempio un gestionale clienti con login, pagamenti con Stripe e un assistente AI].
La usano [chi e cosa può fare ognuno, per esempio admin e clienti: ogni cliente deve vedere solo i suoi dati].
Dai la precedenza ad accessi, dati degli utenti, pagamenti e chiavi segrete.
Non contattare servizi online e non usare dati veri.
Alla fine riassumimi in italiano i problemi confermati, dal più grave, con il file e la riga.

Il report finisce fuori dal progetto, nella cartella security-audit-skill della tua home, con una sottocartella nuova per ogni giro.

Un audit completo lancia molti agenti e consuma parecchio del tuo piano. Su un progetto grande parti più leggero: profilo quick, una cartella sola o un tetto al numero di agenti.

Fai un security audit di [cartella, per esempio ./src/api] con la skill security-audit, profilo quick.
Budget massimo: [numero, per esempio 30] agenti.
Alla fine riassumimi in italiano i problemi confermati, dal più grave, con il file e la riga.

Il report ti dà tre colonne. Lavorale in quest'ordine:

1. I confermati critical e high. Sono quelli con il percorso nel codice provato. Parti da chi entra dove non dovrebbe, dai dati di un utente visibili a un altro, dalle chiavi segrete esposte e dai pagamenti.
2. Un problema alla volta, con un test. Per ognuno fai scrivere un test che dimostra il buco, poi la correzione, poi rilanci il test. Il prompt è qui sotto.
3. I confermati medium e low. Stesso metodo, dopo i gravi. Gli informational leggili e decidi tu.
4. I da verificare. Non hanno una gravità: per ognuno manca un fatto preciso, scritto nella scheda. Spesso è una cosa che sta fuori dal codice, come una regola sul server o un permesso nel cloud. Controllalo tu prima di archiviarlo.
5. Gli scartati. Sono quelli che il verificatore ha smontato. Lasciali dove sono.
6. Rilancia l'audit. Dopo le correzioni fai un altro giro: riparte dai risultati di prima e va a cercare nelle zone scoperte. Cloudflare scrive che un giro solo trova circa la metà dei problemi che trovano più giri insieme.

Leggi il report in [cartella del report] e prendi solo i problemi confermati con gravità critical e high.
Per ognuno, uno alla volta:
1. spiegami in due righe cosa può fare un attaccante
2. scrivi un test che oggi fallisce e dimostra il problema
3. applica la correzione più piccola indicata nel report
4. fai girare il test e mostrami che adesso passa
Aspetta il mio ok prima di passare al problema successivo.

È uno strumento forte e va usato sapendo dove si ferma.

1. Zero problemi confermati vuol dire che questo giro non ne ha trovati. Un giro copre circa la metà di quello che coprono più giri. Un'app sicura al cento per cento la skill non te la certifica.
2. Guarda il codice e lascia stare l'app online. Quello che dipende dalla produzione, come configurazioni, chiavi e permessi sul cloud, finisce fra i da verificare. Lì decidi tu.
3. Le correzioni le descrive e basta. Le applichi tu o le fai applicare a Claude. Poi le rileggi.
4. Anche dopo due verifiche il modello può sbagliare. Ogni scheda porta le prove: leggile prima di fidarti.
5. Il tuo codice passa dal modello dell'agente, come qualsiasi file che gli fai leggere.
6. Usala solo su codice tuo o che hai il permesso di analizzare.

Se la tua app gestisce pagamenti o dati delicati, dopo l'audit falla vedere anche a un esperto di sicurezza prima del lancio.