כששואלים סוכן קוד "האפליקציה שלי מאובטחת?", התשובה בדרך כלל בטוחה בעצמה ומבוססת על מבט חטוף בכמה קבצים. Cloudflare פרסמה גישה מסודרת יותר: security-audit-skill, סקיל ברישיון MIT שהופך סוכן לבודק אבטחה שעובד בשלבים מוגדרים.
מה זה
בפוסט מ-18 ביוני 2026 בבלוג שלה תיארה Cloudflare מערכת פנימית לאיתור חולשות שבנויה מסוכני AI. על פני הריפוזיטוריז שלה, המערכת הפיקה 20,799 מועמדים ראשוניים, שצומצמו ל-7,245 ממצאים שאפשר לפעול לפיהם. הסקיל ב-GitHub הוא החלק הראשוני שממנו המערכת צמחה, בגרסה מסודרת לפרסום. המערכת המלאה עצמה עוד לא שוחררה.
מה הוא יודע לעשות
- למפות את הקוד: הסוכן מתעד את הארכיטקטורה, גבולות האמון ונקודות הקלט, ומנהל רשימת כיסוי של מה שצריך לבדוק.
- לחפש ולאתגר: סוכנים מבודדים מחפשים באגים, וסוכני ביקורת מחפשים אזורים שאף אחד לא בדק.
- להפריך לפני שמדווחים: כל מועמד עובר לבודק חדש שתפקידו להוכיח שהוא שגוי. הרשומות הסופיות נבדקות שוב על ידי סוכנים בלתי תלויים.
- לכתוב דוחות קריאים: REPORT.md, FINDINGS-DETAIL.md ו-NEEDS-VALIDATION.md, שנבנים מרשומות שנבדקות מול סכמה.
איך מנסים
- צריך סוכן קוד שתומך בכלים ובתת-סוכנים במקביל, כמו Claude Code, ו-Node.js בשביל כלי הבדיקה.
- מתקינים עם Skills CLI: npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit. מוסיפים --global להתקנה ברמת המשתמש.
- מבקשים מהסוכן להריץ ביקורת אבטחה על הריפו, וקוראים קודם את REPORT.md ואחריו את NEEDS-VALIDATION.md.
- מריצים יותר מפעם אחת. לפי Cloudflare, בבדיקות שלה ריצה בודדת מצאה בערך חצי מהחולשות שנמצאו בסך הכול בכמה ריצות.
מגבלות ונקודות לתשומת לב
- Sandbox: כדי להריץ את קוד היעד (בנייה, טסטים, fuzzing), הסקיל מצפה לסביבה מבודדת ברמת מערכת ההפעלה, בלי רשת חיצונית, עם סביבה נקייה, מגבלות משאבים והרשאות כתיבה מצומצמות. בלי זה הסוכן לא מריץ את הקוד ומסמן את הממצא כדורש אימות.
- זמן וטוקנים: Cloudflare מדווחת שמעבר מלא על ריפו של כ-30 אלף שורות לקח בערך 14 שעות מקצה לקצה. כדאי להיערך לעלויות מודל אמיתיות.
- זו לא הבטחה. Cloudflare לא טוענת דבר לגבי באגים שפוספסו, וכל תיקון צריך לעבור בדיקה של אדם לפני שממזגים אותו.
- מריצים ביקורת רק על קוד שבבעלותכם או שיש לכם אישור לבדוק.
למי זה מתאים
למפתחים ולבונים עצמאיים שמשחררים קוד שנכתב עם סוכני AI ורוצים בדיקה רצינית לפני השקה, ולצוותים קטנים בלי איש אבטחה ייעודי. זה לא מחליף מבדק חדירה מקצועי למערכות רגישות, אבל זה מעבר ראשון חזק.
עוד סקילס ותהליכי עבודה עם סוכנים מחכים ב-masterphub.io.
Sources: cloudflare/security-audit-skill on GitHub; Cloudflare blog: Build your own vulnerability harness.
