Security Audit Skill: الـ Skill الرسمي من Cloudflare لفحص الكود — 32 ألف نجمة

🔗 رابط المشروع الرسمي على GitHub: github.com/cloudflare/security-audit-skill

---

Cloudflare نشرت الـ skill اللي بتستخدمها داخلياً لـ security audits على الكود — مش tool خارجي، ده الـ skill الرسمي من Cloudflare نفسها. أي coding agent بـ tool use (Claude Code، Codex، Cursor) يقدر يعمل audit احترافي.

32.5 ألف نجمة، 2.0 ألف fork، MIT License. مرتبط بـ blog post رسمي من Cloudflare عن الـ vulnerability discovery harness.

الفكرة في جملة

Workflow من 6 مراحل بيحوّل أي coding agent لـ security auditor. النتيجة ملف findings.json منظّم، كل finding فيه verdict (confirmed / needs_validation / rejected).

الـ 6 مراحل

• Reconnaissance — فهم الكود والـ attack surface
• Coverage-led hunting — بحث منظّم عن الثغرات
• Candidate validation — فحص كل احتمال
• Structured output — JSON schema موحّد
• Independent record verification — فحص مستقل للـ findings
• Target-neutral reporting — تقرير بدون bias

الـ Attack Classes المغطّاة

• Memory Safety — buffer overflows، use-after-free
• AI/LLM — prompt injection، model abuse
• Web Protocol & Auth — JWT، OAuth، session hijacking
• Client-side — XSS، CSRF، DOM-based attacks
• Supply Chain — dependency vulnerabilities، malicious packages
• Cloud — IAM misconfig، exposed buckets
• RPC & Messaging — gRPC، MQTT، WebSocket security
• Resource Exhaustion — DoS، rate limiting
• Data Isolation — tenant boundaries، multi-tenancy
• Desktop/Mobile IPC — Electron، native bridges

التثبيت

# للمشروع الحالي
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

# أو global
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit --global

الاستخدام

بعد التثبيت، في Claude Code أو Codex قول:

security audit this codebase

# أو
find security vulnerabilities in ./src

الـ output هيبقى findings.json منظّم مع verdicts موثّقة.

Features مهمة

• Zero-dependency Node.js validators — JSON schema validation بدون npm packages
• Verdicts موثّقة — confirmed / needs_validation / rejected
• Repeated runs are additive — كل run بيستفيد من اللي قبله
• OS-enforced sandbox — لتشغيل كود مشبوه بأمان
• Parallel sub-agents — بيستغل الـ parallel execution

الفرق بين ده و Nuclei (نشرت قبل كده)

• Nuclei — بيفحص مواقع running من الخارج (HTTP، DNS، TCP)
• Security Audit Skill — بيفحص الكود المصدري من الداخل (SAST approach)

الاتنين مكمّلين لبعض. Nuclei قبل الـ deploy، Security Audit Skill قبل الـ commit.

سيناريوهات Ibrahim

• Vibe Coding course — module عن security audit قبل الـ ship. طلاب كتير بيبنوا SaaS بـ Claude Code وبيـ deploy فورا بدون audit
• faahm backend — audit دوري على الـ Supabase RLS policies والـ API routes
• DSE clients — Service جديد: “Code Security Audit” لعملاء E-commerce. تاخد الـ repo + تطلّع تقرير احترافي
• n8n workflows — audit على الـ custom nodes والـ MCP servers المحليين
• bond app — قبل كل release، audit تلقائي في CI/CD

فرصة Service — Premium

“Enterprise Code Security Audit” — audit شامل بـ Claude + Security Audit Skill + Nuclei. تقرير احترافي بالعربي + remediation plan. سعر: 15-30 ألف جنيه للتقرير الواحد. مناسب لـ:

• عملاء العيادات (compliance مع data protection)
• شركات SaaS محلية قبل الـ Series A
• مواقع e-commerce كبيرة

📎 رابط المشروع: github.com/cloudflare/security-audit-skill