Programación y vibe coding
Auditar la seguridad de tu código con agentes: el skill abierto de Cloudflare
Cloudflare publicó security-audit, un skill para agentes de código que audita un repositorio en seis fases: mapa del sistema, caza por zonas, validación, findings.json, verificación y un informe. El agente que valida un hallazgo nunca es el que lo encontró. Licencia MIT. Sin prueba propia.
| Herramientas | Claude Code (principal)Cursor |
|---|---|
| Qué necesitas |
|
| Coste aprox. | El skill es gratis y tiene licencia MIT. El coste real es el del agente y el modelo que lo ejecuten: el flujo lanza muchos subagentes y cada run suma tokens. Cloudflare no publica una cifra. |
| Tiempo de montaje | 60 min (primera vez) |
| Nivel | Avanzada |
| Plan gratis | Suele requerir plan de pago |
Prompt listo para usar
Haz una auditoría de seguridad del repositorio [REPO] y guarda el resultado en [CARPETA SALIDA]. 1. Empieza por el mapa: arquitectura, límites de confianza y entradas de datos. Céntrate primero en [ZONA PRIORITARIA]. 2. Reparte la caza por zonas del código. Cada hallazgo candidato lo revisa un agente distinto del que lo encontró, que intenta desmentirlo. 3. Separa los resultados en confirmados, pendientes de validar y descartados. Un pendiente indica el dato exacto que falta y no lleva gravedad. 4. La gravedad depende del impacto real, no de incumplir una lista. Si otra capa ya bloquea el ataque, es una mejora, no una vulnerabilidad. 5. No ejecutes código del repositorio fuera de un entorno aislado sin red. Si no lo hay, deja el hallazgo como pendiente. No cambies código ni abras PRs. Solo informa.
| Variable | Qué poner | Ejemplo |
|---|---|---|
[REPO] | Ruta o nombre del repositorio que quieres auditar | ./api-pedidos |
[CARPETA SALIDA] | Dónde guardar los informes, fuera del repositorio o en una carpeta que git ignore | ~/auditorias/api-pedidos |
[ZONA PRIORITARIA] | La parte que más te preocupa | autenticación y endpoints de pago |
Pégalo en: Claude Code, Cursor
Prompt propio. Con el skill instalado basta pedir «security audit this codebase»; este texto añade las reglas del skill para fijar alcance y salida. No se ha ejecutado aquí.
Cómo funciona
- Instala el skill en tu agente. Con la herramienta de línea de comandos de skills.sh: npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit. Añade --global si lo quieres para todos tus proyectos y no solo para el actual.
- Pide la auditoría desde el repositorio. Abre el agente en la carpeta del código y pide «security audit this codebase» o «find security vulnerabilities in ./src». Si no indicas carpeta de salida, el skill guarda cada run en ~/security-audit-skill/<repo>/run-<N>.
- Fase 1: mapa del sistema. El agente describe arquitectura, límites de confianza y entradas de datos en architecture.md, y crea coverage-ledger.json, un registro de qué partes del código se han revisado. Un validador comprueba ese registro cada vez que cambia.
- Fases 2 y 3: caza y validación. Varios agentes aislados revisan zonas del registro y otros buscan huecos de cobertura. Cada candidato pasa a un verificador nuevo que intenta desmentirlo. El que valida nunca es el que encontró el fallo.
- Fases 4 y 5: findings.json y verificación. Los resultados van a findings.json con tres veredictos: confirmado, pendiente de validar o descartado, comprobados contra un JSON Schema. Después, agentes nuevos vuelven a verificar cada afirmación sobre el código fuente.
- Fase 6: lee el informe. El skill genera REPORT.md, FINDINGS-DETAIL.md y NEEDS-VALIDATION.md a partir de los registros ya verificados. Empieza por los confirmados y luego mira qué dato concreto falta en cada pendiente.
- Repite el run. Los runs sobre el mismo repositorio se suman: el skill usa los registros anteriores para ir a los huecos y revalidar lo que cambió. Según Cloudflare, en sus pruebas un solo run encontró más o menos la mitad de lo que encontraron varios runs en total.
Qué resultado esperar
Una carpeta con el mapa del sistema, el registro de cobertura, findings.json validado y tres informes en Markdown que separan lo confirmado de lo que falta por comprobar. No hay cifra pública de tiempo ni de coste por run.
- Qué se hizo
- Cloudflare publicó como código abierto el skill con el que empezó su sistema de búsqueda de vulnerabilidades: un conjunto de instrucciones y validadores que convierte un agente de código en un auditor de seguridad.
- Cómo fue
- El agente principal reparte el trabajo entre agentes aislados: unos mapean el sistema, otros cazan fallos por zonas, otros intentan desmentir cada hallazgo y otros verifican el resultado final. Todo acaba en findings.json y en tres informes.
- A tener en cuenta
- Es la versión de un solo repositorio. Cloudflare dice que su sistema interno creció mucho a partir de aquí. Sin prueba propia todavía.
Límites y precauciones
- Necesita un agente con subagentes en paralelo y un modelo que use herramientas. En agentes más sencillos el flujo no funciona igual.
- Sin un sandbox del sistema operativo sin red, el skill no ejecuta el código auditado y deja esos hallazgos como pendientes de validar.
- La cifra de «la mitad en un solo run» es de las pruebas internas de Cloudflare y no indica sobre qué repositorios se midió.
- Es el punto de partida de un repositorio. El sistema de Cloudflare para toda su flota es más grande y no está en este repo.
- Sin prueba propia todavía.
- No pongas la carpeta de salida dentro del repositorio salvo que git la ignore: los informes describen fallos reales y no deben acabar en un commit.
- Revisa tú los confirmados antes de tocar código. El skill informa; corregir es otro paso con su PR y su revisión.
- Varios subagentes en paralelo gastan cupo rápido. Prueba primero con una carpeta acotada.
Variantes
- cursor: El README dice que vale para cualquier agente de código con skills y subagentes. El instalador de skills.sh permite elegir el agente; mira npx skills --help.
Fuente: el repositorio cloudflare/security-audit-skill, con licencia MIT y unas 30.800 estrellas en GitHub al consultarlo el 18 oct 2026. Según su README, es el skill con el que empezó el sistema de búsqueda de vulnerabilidades de Cloudflare, que la empresa explica en su blog. Sin prueba propia todavía.
Un skill es una carpeta con instrucciones y scripts que tu agente de código lee cuando la petición encaja. Este convierte el agente en un auditor de seguridad. Se instala con una línea, se abre el agente en el repositorio y se le pide «security audit this codebase». A partir de ahí el agente principal reparte el trabajo entre agentes aislados en seis fases: mapa del sistema, caza por zonas, validación de candidatos, salida estructurada, verificación independiente e informe.
La regla que más llama la atención es sencilla: el agente que valida un fallo nunca es el que lo encontró. Cada candidato pasa a un verificador nuevo que intenta desmentirlo. Solo queda como confirmado lo que tiene un recorrido completo en el código fuente y un resultado observado. Lo que no se puede cerrar queda como pendiente, con el dato exacto que falta y sin gravedad. Y si otra capa ya impide el ataque, no cuenta como vulnerabilidad: es una mejora.
Los runs se suman. El skill guarda un registro de cobertura y los hallazgos de cada run, y el siguiente va a los huecos y revisa lo que cambió. En las pruebas de Cloudflare, un solo run encontró más o menos la mitad de lo que encontraron varios runs en total. No dicen sobre qué código lo midieron.
Para ejecutar builds, tests o el propio código auditado pide un sandbox del sistema operativo sin red externa y con escritura limitada. Sin él, el skill no ejecuta nada y deja esos hallazgos como pendientes. Es una buena señal de diseño: prefiere no confirmar a ejecutar código ajeno sin aislar.
Si todavía no trabajas con un agente en tu repositorio, empieza por programar con un agente de código. Para repartir trabajo entre varios agentes sin conflictos, mira varios agentes de código sin que se pisen. Y si quieres escribir tus propias instrucciones para un agente, tienes crear un agente de IA con instrucciones. Más sobre el agente en la ficha de Claude Code.
Preguntas frecuentes
¿Lo habéis probado?
No. Sin prueba propia todavía. La ficha resume el README del repositorio y el post de Cloudflare. El prompt es propio y no se ha ejecutado aquí.
¿Qué es un skill de un agente de código?
Una carpeta con instrucciones en Markdown y, a veces, scripts que el agente lee cuando la petición encaja. Este skill se activa cuando pides una auditoría de seguridad o buscar vulnerabilidades.
¿Por qué otro agente valida cada hallazgo?
Para no fiarse del que lo encontró. Un verificador nuevo intenta desmentir cada candidato y solo queda como confirmado lo que tiene un recorrido completo en el código y un resultado observado.
¿Cambia mi código?
El flujo está pensado para informar. Solo escribe dentro del repositorio si eliges una carpeta de salida que git ignore. Corregir los fallos es trabajo aparte.
¿Cuánto cuesta?
El skill es gratis con licencia MIT. Pagas el agente y el modelo que lo ejecutan. Cloudflare no publica cuánto cuesta un run.
Telegram. Suscríbete al canal de Telegram para no perderte nada y estar al loro de todo lo nuevo en automatización y agentes de IA.Unirme al canal