Cloudflare فتحت مصدر Skill لفحص أمان الكود بـ Claude — 6 مراحل مع Adversarial Validation (17 ألف نجمة)

🔗 رابط المشروع على GitHub (Cloudflare Security Audit Skill): https://github.com/cloudflare/security-audit-skill

---

Cloudflare فتحت مصدر الـ Skill اللي بتستخدمه فرقها الأمنية داخلياً لفحص الكود بحثاً عن ثغرات. الأداة اسمها ببساطة security-audit، وهي الأساس اللي اتبنى عليه نظام Cloudflare الكامل لاكتشاف الثغرات (الموصوف تفصيلياً في مدونتهم “Build your own vulnerability harness”). النسخة المفتوحة دي هي نقطة الانطلاق للنظام الأكبر.

الريبو وصل 16.6 ألف نجمة على GitHub و912 fork، ومرخّص MIT.

الفكرة

محاولة تخلي Claude Code (أو أي agent) يعمل security audit بأمر واحد “افحص الكود ده أمنياً” بتنتج نتائج ضعيفة عادةً: تخمينات كتير، false positives، تغطية ناقصة. الـ Skill دي بتحل ده بأنها بتفرض على الـ agent يمشي على 6 مراحل صارمة، مع فصل تام بين مين اكتشف الثغرة ومين يتحقق منها (adversarial validation).

الـ 6 مراحل

1. Reconnaissance (استكشاف) — رسم خريطة معمارية للتطبيق، حدود الثقة، مداخل البيانات، والدليل السابق. النتيجة: architecture.md و coverage-ledger.json
2. Coverage-led hunting (صيد موجّه بالتغطية) — تعيين hunters معزولين لكل وحدة من الـ ledger، تسجيل فحوصاتهم، واستخدام coverage critics لاكتشاف الفجوات
3. Candidate validation (تحقق من المرشحين) — كل ثغرة محتملة بتترمى على verifier جديد مهمته يحاول يُثبت إنها غلط (mafiihaش)
4. Structured output (مخرجات منظمة) — كتابة سجلات confirmed، needs_validation، rejected في findings.json والتحقق منها ضد report-schema.json
5. Independent record verification (تحقق مستقل) — agents جديدة تماماً تتحقق من مصادر الادعاءات النهائية. أي استبدال جوهري يحصل يمر على verifier مستقل ثاني
6. Target-neutral reporting (تقرير محايد) — اشتقاق REPORT.md، FINDINGS-DETAIL.md، NEEDS-VALIDATION.md من السجلات المتحقّق منها

الأحكام الـ 3

كل ثغرة مرشحة بتنتهي بواحد من 3 أحكام محددة:

• confirmed — مسار مصدر كامل + نتيجة ملاحظة مقيدة
• needs_validation — حقيقة معينة غير محلولة، بدون تقييم خطورة
• rejected — مرشح تم دحضه

الحكم “confirmed” مش سهل يوصله — لازم يكون مبرهن، مش مخمّن.

14 فئة هجمات مغطاة

الـ Skill بتيجي بـ 14 ملف markdown كل واحد يغطي فئة كاملة من الهجمات مع الـ prompts والأساليب اللي بتناسبها:

• Attack Classes — Core, wildcard, obvious-things
• Memory Safety + Binary — للـ native targets (C, C++, Rust unsafe)
• AI و LLM — prompt injection، agent/tool abuse، output handling — الفئة الجديدة الأهم لمن يبنون AI products
• Web Protocol + Auth — HTTP request framing, cache, authentication protocols
• Client-Side — DOM injection, messaging trust, UI redress, prototype pollution
• Supply Chain + Release — dependencies, CI, signing, updates, plugins, extensions
• Cloud + Deployment — IAM, IaC, containers, serverless, ingress, runtime config
• Protocols, RPC + Messaging — serialization, queues, brokers, webhooks, streaming
• Resource Exhaustion + Availability — shared resources, quotas, worker spend
• Data Isolation + Lifecycle — tenant isolation, cache, search, export, backup, deletion
• Desktop, Mobile + Local IPC — native apps, deep links, webviews, exported components

المبادئ التصميمية

• أكّد فقط فشل الحدود الفعلي — لو الادعاء مسدود بمصدر، خليه needs_validation مع الحقيقة الغير محلولة، مش تعلن ثغرة
• Adversarial validation — الـ agent اللي بيتحقق مش هو اللي اكتشف. ده بيمنع confirmation bias
• Severity = likelihood × impact — مش انحراف عن checklist
• ثغرات defense-in-depth مش ثغرات — لو Layer A بيمنع الهجوم، غياب Layer B ملاحظة تصلّب، مش ثغرة
• تشغيلات متعددة تحسّن التغطية — Cloudflare قاست: تشغيل واحد يجيب ~نصف اللي تشغيلات متعددة بتجيبه

التثبيت

الـ Skill بتتثبت عبر Skills CLI الرسمي:

# تثبيت في المشروع الحالي
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

# أو تثبيت عام (لكل مشاريعك)
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit \
  --global

الاستخدام

شغّل الـ coding agent في مشروعك واطلب:

security audit this codebase

# أو
find security vulnerabilities in ./src

# أو مع مسار مخرجات
do a security review, output to ~/audits/my-project

الـ Skill بتتفعّل تلقائياً لما تكشف طلب متعلّق بأمن (security audit, find vulnerabilities, pen-test, إلخ). وضعان مختلفان:

• Full audit mode — لطلب فحص شامل. المخرجات في ~/security-audit-skill/<repo>/run-<N> افتراضياً
• Guidance mode — للأسئلة الأمنية والعمل المركّز على ثغرة محددة. مفيش تقارير تُنتج

المتطلبات

• Coding agent بموديل يدعم tool use و parallel sub-agents (Claude Code, Codex, Cursor)
• Node.js لتشغيل الـ validators (zero-dependency)
• OS-enforced sandbox لكل target-controlled builds/tests/browsers/fuzzers — بدون شبكة خارجية، بيئة مسموحة فقط، حدود موارد، writes مسموحة فقط لمسارات محددة. بدون ده، الـ workflow بيبقي الادعاء needs_validation بدل ما ينفّذ كود الهدف

ميزة الـ runs المتعددة

تشغيلات متعددة على نفس الـ repo تراكمية. الـ Skill بتستخدم الـ ledgers والـ findings السابقة عشان:

• تستهدف الفجوات في التغطية
• تعيد التحقق من المصادر المتغيرة
• تنقل دليل المصدر الحالي
• ما تعاملش الشغل القديم أو غير المحلول على إنه مغطى

لمين ده مفيد؟

• SaaS builders + startups — قبل launch أو big feature release
• مطوّرين ينتجون AI products — قسم AI/LLM بيغطي prompt injection و tool abuse specifically
• Freelancers يقدمون security review كخدمة إضافية للعملاء
• Bug bounty hunters — نقطة انطلاق منظمة قبل الـ deep dive اليدوي
• وكالات dev — quality gate ثابت قبل تسليم المشاريع
• Educators — تعليم منهجية security auditing بشكل مبني على مثال حقيقي

لماذا ده مهم؟

معظم skills الأمنية اللي شافيناها في السوق بتكون prompts بسيطة “افحص الكود ده وقولي على ثغرات”. النتيجة عادة: قائمة طويلة من التخمينات، معظمها false positive، وأنت تقضّي أطول وقت تتحقق منها من الشغل نفسه.

Cloudflare قربت المشكلة بشكل مختلف: هيكلة صارمة + adversarial validation + machine-readable output + validators خارجية. النتيجة: تقارير قابلة للاستخدام فعلاً، بأدلة مصدرية، وبدون noise.

الأهم من كده، الـ Skill دي درس معماري ضخم لأي حد بيبني أدوات AI جدية — فيلسوفة “الـ agent اللي بيتحقق مش اللي اكتشف” ممكن تطبقها على code review، content moderation، fact-checking، وأي مجال محتاج ثقة عالية. Ibrahim وأي حد بيبني منتجات AI يستحقوا يقرأوا الـ SKILL.md و HUNTING.md بعمق حتى لو مش هيستخدموا الأداة نفسها.