AI가 못 찾는 구멍 찾는 공짜 부품, Cloudflare 보안 점검 스킬

제일 빠른 방법

점검할 프로젝트 폴더에서 터미널을 열고 아래 한 줄로 설치해요.

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

그다음 AI 코딩 도구를 그 폴더에서 열고 이렇게 말하면 끝이에요.

security audit this codebase

1. 이게 뭐예요?

한 줄로: AI 코딩 도구에 끼우는 스킬(어떤 일을 하는 방법을 적어 둔 설명서 묶음)이에요. 끼우면 AI가 "보안 점검은 이 순서로 한다"를 알게 돼요.

왜 필요해요: 내가 쓴 글의 오타는 내 눈에 잘 안 보이죠. AI도 마찬가지예요. Cloudflare 블로그에도 같은 시스템은 코드를 늘 같은 렌즈로 본다는 말이 나와요. 그래서 이 스킬은 구멍을 찾은 AI가 그 구멍을 검사하지 않게 만들어 놨어요 (README: "The agent that checks a finding is never the agent that found it").

README 둘째 문단에 따르면 이 스킬은 Cloudflare가 자기 회사 보안 구멍을 찾는 시스템(vulnerability discovery harness)의 시작이 된 스킬이에요.

하는 일 (README 'What it does' 6단계)

1. 앱 지도 그리기 (Reconnaissance): 구조, 믿어도 되는 경계, 입력받는 곳을 정리해요.
2. 구멍 찾기 (Coverage-led hunting): 입력받는 곳마다 서로 떨어진 AI(사냥꾼)를 보내요.
3. 반박하기 (Candidate validation): 찾은 구멍 후보마다 새 AI가 "틀렸다"를 증명하려고 해요.
4. 기록하기 (Structured output): 결과를 findings.json 에 확정·확인 필요·기각으로 적어요.
5. 한 번 더 검증 (Independent record verification): 또 다른 새 AI가 최종 기록을 다시 확인해요.
6. 보고서 (Target-neutral reporting): REPORT.md 등 읽기 쉬운 파일로 정리해요.

2. 준비물 (솔직한 조건)

README 'Requirements' 에 적힌 조건이에요. 설치 전에 먼저 확인하세요.

• AI 여러 명을 동시에 돌릴 수 있는 코딩 도구 — 원문 "A coding agent with a model that supports tool use and parallel sub-agents". 도구 사용 + 병렬 하위 에이전트를 지원해야 해요. 어떤 도구가 되는지는 README에 목록이 없어요. 내 도구 설명서에서 "하위 에이전트(sub-agent)" 기능이 있는지 확인하세요.
• Node.js — 결과 파일을 검사하는 작은 프로그램(validate-findings.cjs, validate-coverage-ledger.cjs)을 돌릴 때 써요. 터미널에 node -v 를 쳐서 버전이 나오면 있는 거예요.
• 인터넷이 막힌 안전한 방(OS 수준 샌드박스) — 코드를 직접 빌드·실행해 보는 검사를 할 때 필요해요. 외부 네트워크 차단, 허용된 환경만, 자원 제한, 정해진 폴더에만 쓰기. 없으면 그 항목은 실행하지 않고 needs_validation(확인 필요)으로 남겨요.
• AI 사용량 — 점검은 내 AI 코딩 도구 안에서 돌아가요. 그래서 쓰는 사용량도 내 몫이에요. 한 번에 얼마나 드는지는 공식 수치가 없어요. 작은 폴더부터 시험해 보세요.

3. 설치 한 줄

따라 하기

1. 점검할 프로젝트 폴더에서 터미널을 열어요.
2. 아래 명령을 붙여 넣고 엔터.

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

3. 모든 프로젝트에서 쓰고 싶으면(사용자 전체 설치) 끝에 --global 을 붙여요.

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global

4. 어떤 AI 도구에 설치할지 고르는 옵션은 아래 명령으로 볼 수 있어요.

npx skills --help

확인하는 법: 설치가 끝나면 AI 도구를 다시 열고 "설치된 스킬 목록 보여 줘"라고 물어보세요. security-audit 이 보이면 성공이에요.

막히면

• npx 가 없다고 나오면 Node.js가 없는 거예요. nodejs.org 에서 설치한 뒤 터미널을 다시 열어요.
• 저장소 주소는 꼭 github.com/cloudflare/security-audit-skill 인지 확인하세요. 비슷한 이름의 다른 저장소를 쓰지 마세요.

4. 점검 시키는 말 3개

AI 코딩 도구를 점검할 코드 폴더에서(또는 그 폴더를 가리키게) 열고 말해요. 요청이 "보안 점검", "취약점 찾기" 같은 뜻이면 스킬이 알아서 켜져요.

① 코드 전체 점검 — 이 폴더 전체를 처음부터 끝까지

security audit this codebase

② 특정 폴더만 — 예: src 폴더만 빨리

find security vulnerabilities in ./src

③ 결과 저장 위치 정하기 — 결과를 원하는 폴더에 모으고 싶을 때

do a security review, output to ~/audits/my-project

한국어로 시켜도 돼요. 다만 스킬이 확실히 켜지게 "보안 점검(security audit)"이라는 말을 넣으세요.

이 코드 전체를 security-audit 스킬로 보안 점검(security audit)해 줘. 결과는 보고서 파일로 남겨 줘.

알아 두기 (README Usage)

• "코드 전체 점검·침투 테스트" 요청은 전체 점검 모드(full audit), 보안 질문이나 특정 취약점 이야기는 안내 모드(guidance)로 돌아가요. 보고서 파일이 필요하면 "보고서로 남겨 줘"를 붙이세요.
• 저장 위치를 안 정하면 결과는 ~/security-audit-skill/<저장소 이름>/run-<번호> 에 생겨요.
• 점검 대상 저장소 안에는, 버전 관리가 무시하는 폴더를 직접 고를 때만 결과를 써요.

5. 결과 읽는 법

결과 폴더를 열면 이런 파일이 있어요.

판정 세 가지

고치는 순서 (따라 하기)

1. REPORT.md 에서 확정 항목만 골라요.
2. AI 코딩 도구에 이렇게 시켜요.

REPORT.md 에서 confirmed(확정)로 나온 항목을 하나씩 고쳐 줘. 고치기 전에 무엇을 어떻게 바꿀지 먼저 보여 주고, 하나 고칠 때마다 왜 이제 안전한지 설명해 줘.

3. NEEDS-VALIDATION.md 의 항목은 "남은 사실 하나"가 적혀 있어요. 그 사실만 확인하면 돼요.

NEEDS-VALIDATION.md 의 항목마다 아직 확인 못 한 사실이 무엇인지, 내가 직접 확인하려면 어떻게 하면 되는지 쉬운 말로 알려 줘.

알아 두기: README 원칙에 따르면 심각도는 "가능성 × 영향"으로 매기고, 한 겹이 이미 막고 있는데 다른 겹이 없는 건 취약점이 아니라 보강 메모로 적어요. 그래서 보고서에 나온 개수가 적어도 이상한 게 아니에요.

6. 한 번으론 절반 → 올리기 전마다 다시

README 설계 원칙 마지막 줄 원문이에요.

"In our test runs, a single run found roughly half of the vulnerabilities that repeated runs found in total."

한 번 돌리면, 여러 번 돌려서 찾은 전체의 절반쯤 찾았다는 뜻이에요. 그리고 같은 저장소에 다시 돌리면 앞의 기록을 이어 받아서 빈 곳을 노려요 (README: "Multiple runs against the same repo are additive").

따라 하기

1. 결과 폴더(~/security-audit-skill/<저장소 이름>/)를 지우지 마세요. 다음 실행이 이 기록을 써요.
2. 앱을 고친 뒤, 공개하기 전에 같은 말로 다시 시켜요.
3. 새 결과의 REPORT.md 에서 이번에 새로 나온 확정 항목을 고쳐요.

체크리스트

• AI 코딩 도구가 하위 에이전트(여러 AI 동시 실행)를 지원한다
• node -v 가 나온다
• npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit 설치
• 점검할 폴더에서 "security audit this codebase"
• REPORT.md 의 확정 항목부터 고쳤다
• NEEDS-VALIDATION.md 의 남은 사실을 확인했다
• 이전 결과 폴더를 지우지 않고, 올리기 전마다 다시 돌린다

출처

• cloudflare/security-audit-skill README·LICENSE(MIT) — 2026-11-02 확인
• Cloudflare 블로그: Build your own vulnerability harness (2026-06-18 게시) — 2026-11-02 확인