Cloudflare security-audit skill nedir? Kodlama ajanınla kendi kodunu güvenlik denetiminden geçirmek

Kodlama ajanına "bu projeyi denetle" dersin; Cloudflare'in security-audit skill'i ajanı altı aşamalı bir güvenlik denetçisine çevirir. Ajan önce kodunu haritalar, sonra saldırı türlerine göre ayrı alt ajanlarla açık arar; bulunan her adayı, onu bulmayan yeni bir ajan çürütmeye çalışır. Kalan bulgular makinece okunur bir findings.json dosyasına ve okunur Markdown raporlara yazılır; skill kodunu değiştirmez, düzeltmeyi tarif eder. Skill ücretsiz ve açık kaynak (MIT), ama denetim ajanının model kullanımını harcar. Türkçe rapor desteğini resmî kaynak yazmıyor.

Ne yapar: Kodlama ajanını güvenlik denetçisine çevirir
Tür: Skill (talimat dosyaları + iki doğrulayıcı betik)
Yapımcı: Cloudflare (resmî depo)
Çıktı: findings.json + 3 Markdown rapor
Kodunu değiştirir mi: Hayır, düzeltmeyi tarif eder
Windows: Doğrulayıcılar çalışmıyor (açık issue)
Ücret: Skill ücretsiz (MIT); model kullanımı ayrı

Cloudflare security-audit skill ne işe yarar?

Bir kodlama ajanından "bu kodda güvenlik açığı var mı?" diye tek bir cevap istemek yerine security-audit skill'i bu işi bir yönteme bağlar. README'nin tasarım ilkelerine göre bir bulgunun önemi kontrol listesinden sapmaya değil, olasılık × etkiye göre verilir; doğrulanamayan iddia bulgu sayılmaz. Bunun için skill ajanı bir denetim ekibi gibi çalıştırır, her iddiayı kanıta ve bağımsız doğrulamaya zorlar. Skill, asistana belirli bir işi nasıl yapacağını anlatan hazır talimat paketi demektir.

Kodunu altı aşamada güvenlik denetiminden geçirNe alırsın: findings.json + REPORT.md, FINDINGS-DETAIL.md, NEEDS-VALIDATION.md (varsayılan ~/security-audit-skill/<repo>/run-<N>)Ayrı kurulum gerekir Her bulguyu ayrı ajana çürüttürNe alırsın: Her aday için confirmed, needs_validation ya da rejected kararıAyrı kurulum gerekir Dosya üretmeden güvenlik sorusu sorNe alırsın: Sohbette yanıtAyrı kurulum gerekir

Cloudflare bu skill'i kendi kod tabanında açık bulmak için yazdı; daha sonra 128 depoyu tarayan iç sistemi bu skill'den büyüttü ve skill'i 18 Haziran 2026'daki blog yazısıyla açık kaynak yaptı. Kime yarar: kendi sitesinin, uygulamasının, API'sinin ya da kütüphanesinin kodunu yayından önce denetletmek isteyen geliştiriciye ve küçük teknik ekibe. Ne yapmaz: kodunu düzeltmez, canlı siteni ya da sunucunu taramaz; kaynak kodu okuyarak ve yalnız güvenli yerel denemeyle çalışır.

Bu skill savunma amaçlıdır: yalnız kendi kodunu ya da denetleme iznin olan kodu denetle.

Nasıl çalışır? Altı aşama

HaritalaKeşif ajanları mimariyi, güven sınırlarını ve girdi noktalarını çıkarır; kapsam defteri kurulur.

AraHer kapsam birimine ayrı bir avcı ajan atanır; kapsam eleştirmenleri boşluk arar.

ÇürütHer aday, onu bulmayan yeni bir ajana gider; o ajan adayı çürütmeye çalışır.

RaporlaKalanlar findings.json'a yazılır, şemayla denetlenir, yeniden doğrulanır, rapora dönüşür.

Bulguyu kontrol eden ajan, onu bulan ajan asla değildir (README: "Adversarial validation").

Aşama	Ne olur	Ne üretir
1. Keşif (Reconnaissance)	Paralel araştırma ajanları kodu ağ erişimi olmadan okur: ürün türü, diller, giriş noktaları, güven sınırları, önceki çalıştırmalar.	`architecture.md`, `coverage-ledger.json`
2. Kapsam odaklı arama (Coverage-led hunting)	Defterdeki her birime ayrı avcı ajan; saldırı türü dosyaları (web ve kimlik doğrulama, istemci tarafı, bulut, tedarik zinciri, yapay zekâ ve LLM, bellek güvenliği…) hedefe göre seçilir.	Yapılandırılmış aday listesi
3. Aday doğrulama (Candidate validation)	Her benzersiz aday, onu çürütmeye çalışan yeni bir doğrulayıcıya verilir.	Aday başına karar
4. Yapılandırılmış çıktı (Structured output)	Kararlar `findings.json`'a yazılır; `report-schema.json` ve `validate-findings.cjs` ile denetlenir.	`findings.json`
5. Bağımsız kayıt doğrulama	Yeni ajanlar son kayıtların kaynak iddialarını yeniden kontrol eder; değişen kayıt bir kez daha bağımsız doğrulanır.	Doğrulanmış kayıtlar
6. Hedeften bağımsız rapor	Okunur raporlar yalnız doğrulanmış kayıtlardan türetilir; canlı sistemi deneme talimatı içermez.	`REPORT.md`, `FINDINGS-DETAIL.md`, `NEEDS-VALIDATION.md`

İki çalışma modu var. SKILL.md'ye göre skill varsayılan olarak rehberlik modunda: güvenlik sorusu, tek bir dosyanın incelenmesi ya da belirli bir bulgunun araştırılmasında yalnız ilgili kısmını kullanır, altı aşamayı çalıştırmaz ve dosya oluşturmaz. Tam denetim modu yalnız açıkça bir kod tabanını denetlemesini, "pen-test" yapmasını, kapsamlı inceleme ya da rapor dosyası istediğinde açılır. İsteğin ikisine de benziyorsa ajan dosya oluşturmadan önce tek bir soru sorar.

Kaynak: README "What it does", SKILL.md "Operating modes" ve "Full audit workflow", RECONNAISSANCE.md (29.10.2026). Cloudflare blogu ilk sürümü yedi aşamalı anlatıyor; yedinci aşama Cloudflare'in kendi iç sistemine gönderimdi. Depodaki güncel sürüm altı aşama.

Nasıl kurulur? Claude Code, Codex ve diğer ajanlar

README kurulumu Skills CLI ile veriyor: Vercel'in, skill'leri farklı kodlama ajanlarının skill klasörüne kuran komut satırı aracı. Hesap ya da API anahtarı gerekmez. Komutu denetleyeceğin projenin klasöründe çalıştırırsın; CLI hangi ajana kuracağını sorar.

Yalnız bulunduğun projeye kur› npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

Kullanıcı düzeyinde kur (--global)› npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --global

Ajan seçimi ve etkileşimsiz kurulum seçenekleri için README npx skills --help komutunu gösteriyor.
Skills CLI Node.js 22.20 ya da üstünü istiyor; skill'in doğrulayıcı betikleri de Node.js ile çalışır.
Depoda sürüm etiketi yok: komut kurulduğu andaki ana dalı alır (29.10.2026'da son değişiklik 14.09.2026, commit c1c8a8c). Sonraki değişiklikler npx skills update ile gelir.

Skills CLI kurulumda anonim kullanım verisi gönderir; kapatmak için komutun önüne DISABLE_TELEMETRY=1 yaz (Skills CLI README).

Claude uygulamasına (claude.ai, Desktop) ZIP olarak yükleme yolunu resmî README anlatmıyor; bir kullanıcının bildirdiği yükleme hatası "Sık sorunlar"da.

Nasıl kullanılır? Ne yazarsın, ne alırsın

Ajanını denetlemek istediğin kod deposunun içinde başlat (ya da depoyu göster) ve düz dille güvenlik denetimi iste. README'ye göre istek tetikleyiciye uyunca ("security audit", "find vulnerabilities", "pen-test the code" gibi) skill kendiliğinden devreye girer; ayrıca bir komut yazman gerekmez. Aşağıdaki istekler README'deki örneklerdir; çıktılar resmî belgedeki tarife göre anlatıldı.

Tam denetim"security audit this codebase"Ne alırsın: tam denetim modu açılır, altı aşama çalışır. Çıktı klasörünü belirtmediğin için dosyalar hedef deponun dışında, ~/security-audit-skill/<depo-adı>/run-1 klasörüne yazılır: findings.json, REPORT.md, FINDINGS-DETAIL.md, NEEDS-VALIDATION.md, ayrıca architecture.md ve coverage-ledger.json.

Bir klasörü denetlet"find security vulnerabilities in ./src"Ne alırsın: denetim yalnız src klasörüne odaklanır. SKILL.md'ye göre kapsamı daraltılmış bir çalıştırma raporda "kısmi kapsam" diye belirtilir; kapsam dışı kalan yerler "taranmış" sayılmaz.

Raporu belirli klasöre yazdır"do a security review, output to ~/audits/my-project"Ne alırsın: aynı denetim; dosyalar senin verdiğin klasöre yazılır. Deponun içinde bir klasör seçersen, o klasör sürüm kontrolünde yok sayılıyor (ör. .gitignore'da) olmalı; değilse ajan durup dışarıda bir yol ister.

Rehberlik modu: dosya üretmeden soru"Use the security-audit skill to check whether the file upload handler in src/upload.js lets a user overwrite another user's files. Answer here, do not create report files."Ne alırsın: SKILL.md'ye göre odaklı bir soru rehberlik modunda kalır; ajan altı aşamayı çalıştırmaz, çıktı klasörü açmaz, cevabı sohbette verir. Örnek istek resmî rehberlik modu tanımından türetildi.

Profil ve bütçe seç

Profil	Ne zaman	Ne değişir
quick	Küçük proje, hızlı ilk bakış, yeniden çalıştırma	Tek arama dalgası, tek son kapsam kontrolü; rapor "kısmi" der
standard (varsayılan)	Çoğu proje	Belgede yazılan akışın tamamı
deep	Büyük ya da riski yüksek proje	Daha ince kapsam birimleri, temiz geçişe kadar kontrol, aday doğrulama ve son doğrulama ayrı ajanlarla

İsteğine bir bütçe ekleyebilirsin ("en fazla 40 ajan çağrısı" gibi). SKILL.md bütçeyi ajan çağrısı sayısı olarak kaydeder; bütçe keşif ve zorunlu kontrolleri karşılamıyorsa ajan hiç başlamaz, daha geniş bütçe ya da dar kapsam ister. Profil kanıt çıtasını düşürmez, yalnız genişliği değiştirir.

Tekrar çalıştırmak işe yarar. Aynı depoda ikinci çalıştırma önceki kapsam defterini ve bulguları okur, boşlukları ve değişen kodu hedefler. README: Cloudflare'in kendi denemelerinde tek çalıştırma, tekrarlı çalıştırmaların toplamda bulduğu açıkların yaklaşık yarısını buldu (üreticinin ölçümü).

Raporda ne alırsın? findings.json ve üç Markdown dosya

JSONfindings.json, coverage-ledger.jsonMDREPORT.md, FINDINGS-DETAIL.md, NEEDS-VALIDATION.md, architecture.md

confirmed (doğrulandı)Var	Kaynakta tam izi ve sınırlı, gözlenmiş bir sonucu olan açık. Yalnız bunlar önem derecesi alır: kritik, yüksek, orta, düşük, bilgi.
needs_validation (doğrulanmalı)Net değil	Kaynağa dayanan ama tek bir eksik olguda takılan iddia (ör. sunucu ayarı depoda yok). Önem derecesi verilmez; tam olarak neyin eksik olduğu ve güvenli bir doğrulama planı yazılır.
rejected (reddedildi)Yok	Doğrulayıcı ajanın çürüttüğü aday. Raporda bulgu diye anlatılmaz.

REPORT.md: çalıştırma profili ve kapsamı, kısa güvenlik durumu özeti, doğrulanmış bulgular tablosu (önem, başlık, etkilenen sınır, tek satır sonuç), her bulgunun kaynak konumu, yerel yeniden üretimi, etkisi ve en küçük kaynak düzeltmesi, ayrı bir "needs validation" tablosu, sertleştirme notları ve kapsam özeti.
FINDINGS-DETAIL.md: orta, yüksek ve kritik bulguların tam izi, sahte kullanıcı ve kaynakla yerel yeniden üretim adımları, düzeltme ve regresyon testi önerisi.
NEEDS-VALIDATION.md: doğrulanamayan iddiaların listesi, her birinin takıldığı olgu ve nasıl çözüleceği.

Temiz bir çalıştırma sıfır bulguyla bitebilir; belge bu durumda "düşük" bulgu uydurmamayı açıkça istiyor. Skill hedef kodu değiştirmez: düzeltmeyi tarif eder, uygulamak sana (ya da ayrıca isteyeceğin ajana) kalır.

Kaynak: README, VALIDATION-AND-REPORTING.md (4–6. aşamalar), SKILL.md "Separate priority from certainty" (29.10.2026).

Hangi ajanlarda çalışır? Claude Code, Codex, Cursor

Kodlama ajanında (Skills CLI ile)Kendi kod deponu bir kodlama ajanına güvenlik açısından denetletmek ya da güvenlik sorusu sormak.Terminal, Kod editörü · Araç kullanan ve paralel alt ajan çalıştırabilen bir ajan + Node.js · ayrıntı

Cloudflare'in belgesi belirli bir ajan adı vermiyor; skill'i "ajandan bağımsız" diye tanımlıyor ve tek şart koyuyor: araç kullanabilen ve paralel alt ajan çalıştırabilen bir modeli olan kodlama ajanı. Kurulum aracı Skills CLI'nin README'si OpenCode, Claude Code, Codex, Cursor ve 75 ajan daha destekliyor.

Claude Code, Codex, Cursor, OpenCodeKısmen	Skills CLI bu ajanlara kurar. Cloudflare belgesi bu ajanları adıyla anmıyor; alt ajan desteği ajanın kendi belgesinden kontrol edilir.
Claude uygulaması (ZIP yükleme)Net değil	README bu yolu anlatmıyor; GitHub'da açık bir kullanıcı bildirimi yükleme hatası anlatıyor.
WindowsKısmen	Rehberlik modu dosya üretmediği için doğrulayıcıya ihtiyaç duymaz; tam denetim 4. aşamada durur, çünkü doğrulayıcı betikler Windows'ta her girdiyi reddediyor (validate-findings.cjs satır 608; Sık sorunlar).
Türkçe raporNet değil	Resmî kaynak yazmıyor. Talimatlar ve dosya adları İngilizce; raporu Türkçe istemek ajanın modeline kalır.

Koduma ne yapar, internete çıkar mı?

Neyi okur, neyi yazar

Okur: denetlediğin deponun kaynak kodu, yerel yapılandırma ve derleme dosyaları; varsa önceki çalıştırmanın defteri ve bulguları
Yazar: hedefin dışındaki çıktı klasörüne denetim dosyaları; her alt ajan yalnız kendi geçici klasörüne
Hedef kaynağı değiştirmez; bağımlılık kurmaz, derlemenin dışarıdan paket indirmesine izin vermez

İnternete çıkar mı

Keşif ajanlarının talimatı "ağ erişimi kullanma" der; canlı site, dış hizmet, üretim hesabı ve ücretli API kotası denenmez. Ama kodun, kullandığın ajanın model sağlayıcısına her ajan oturumunda olduğu gibi gider; gizli anahtar içeren dosyalar için ajanının veri kurallarına bak.

Kodunu çalıştırır mı

Yalnız işletim sistemi düzeyinde bir sandbox varsa: dış ağ kapalı, ortam değişkenleri boş ve izinli listeden, işlemci-bellek-disk sınırlı, yalnız geçici klasöre yazma. Bu koşulların biri sağlanmazsa hedef kod çalıştırılmaz; iddia "needs_validation" olarak kalır.

Kayıtlı uyarı ve bakım

Bakım: ana dalda son değişiklik 14.09.2026; açık PR kuyruğu uzun, depoda SECURITY.md yok. Kayıtlı uyarı: GitHub'da güvenlik bildirimi yok, skills.sh'te iki denetim "geçti", Snyk "uyarı" veriyor; bu bir güvenlik sertifikası değildir.

Denetim raporu bir güvenlik garantisi değildir: belge tek bir çalıştırmanın hedefi tüketmediğini ve kapsam dışı kalan yerlerin "temiz" sayılmaması gerektiğini açıkça yazıyor.

Ücretsiz mi? Denetim ne kadar tutar?

Skill'in kendisi ücretsiz ve açık kaynak (MIT); hesap, abonelik ya da Cloudflare ürünü gerekmez. Asıl maliyet, denetimin kullandığın ajanın modelini harcamasıdır: tam denetim çok sayıda alt ajan çalıştırır (keşif ajanları, her kapsam birimine bir avcı, her adaya bir ya da iki doğrulayıcı). Bir denetimin token ya da para tutarını resmî kaynak vermiyor; tutar deponun büyüklüğüne, profile ve ajanının planına bağlı.

Ajanının kullanım panelinden harcamayı izle; ilk denemeyi küçük bir depoda ve quick profilde yap.
İsteğine ajan çağrısı sınırı yaz; SKILL.md, koyduğun bütçenin sessizce aşılmamasını istiyor.
Cloudflare blogu kendi çok depolu sisteminde hesaplama bütçesinin neredeyse tamamının arama aşamasına gittiğini yazıyor; bu, tek depoluk skill için bir tutar değil.

Yapabilirsin

Ticari kullanım dahil kullanmak, kopyalamak, değiştirmek ve dağıtmak (MIT)

Yasak

Telif ve lisans bildirimini kopyalardan çıkarmak
Yazılım "olduğu gibi" verilir; Cloudflare garanti vermez

Sık sorunlar ve çözümleri

Ne oluyor	Ne yapmalı
Windows'ta doğrulayıcılar "OS no-follow and nonblocking input protection is unavailable" hatası veriyor	Kaynak kodda bu korumalar Windows'ta bulunmadığı için betik her girdiyi reddediyor (validate-findings.cjs). Düzeltme önerisi açık PR'da bekliyor (issue #117, PR #113). Tam denetimi macOS, Linux ya da WSL üzerinde çalıştır.
Claude uygulamasına ZIP yüklerken "SKILL.md file must be in the top-level folder" hatası	Kullanıcıların bildirdiği GitHub issue #64: depo ZIP'inde SKILL.md iki klasör içeride (skills/security-audit). Resmî bir çözüm yazılmadı; README'deki Skills CLI kurulumunu kullan.
Ajan altı aşamayı başlatmadı, yalnız sohbette cevap verdi	Beklenen durum: odaklı soru rehberlik modunda kalır. Tam denetim için açıkça "security audit this codebase" ya da rapor dosyası iste.
Ajan durup bütçe ya da çıktı klasörü sordu	Bütçe keşif ve zorunlu kontrolleri karşılamıyorsa ya da seçtiğin klasör deponun içinde ve sürüm kontrolünde yok sayılmıyorsa belge ajanın durmasını istiyor. Bütçeyi artır, kapsamı daralt ya da depo dışında bir klasör ver.
Raporda çok sayıda "needs_validation" var, "confirmed" az	Sandbox yoksa ya da belirleyici bilgi (sunucu ayarı, kimlik sağlayıcı) depoda yoksa iddia doğrulanmış sayılmaz. NEEDS-VALIDATION.md her biri için eksik olguyu ve güvenli doğrulama planını verir.

Nasıl kaldırılır?

Skill'i kaldır (Skills CLI)› npx skills remove security-audit

Komut Skills CLI README'sindeki komut tablosundan (npx skills remove [skills...]). Denetim çıktıları ayrı klasörde durur (varsayılan ~/security-audit-skill/); onları kendin silersin.

Sık sorulan sorular

Cloudflare security-audit skill nedir?

Cloudflare'in açık kaynak (MIT) skill'i: kodlama ajanını altı aşamalı bir güvenlik denetçisine çevirir. Ajan kodu haritalar, saldırı türlerine göre açık arar, her adayı ayrı bir ajana çürüttürür ve kalanları findings.json ile Markdown raporlara yazar.

Claude Code'a nasıl kurulur?

Projenin klasöründe npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit komutunu çalıştırıp ajan olarak Claude Code'u seçersin. Tüm projelerin için komutun sonuna --global eklersin.

Codex ya da Cursor'da çalışır mı?

Cloudflare belgesi ajan adı vermiyor; araç kullanan ve paralel alt ajan çalıştırabilen bir ajan istiyor. Kurulum aracı Skills CLI Codex, Cursor, OpenCode ve Claude Code'u destekliyor.

Kullanmak için ne yazmalıyım?

Ajanını denetlemek istediğin deponun içinde başlatıp "security audit this codebase" ya da "find security vulnerabilities in ./src" yazman yeter; skill isteğe uyunca kendiliğinden devreye girer.

Raporda ne çıkar?

findings.json içinde her aday için doğrulandı, doğrulanmalı ya da reddedildi kararı; REPORT.md, FINDINGS-DETAIL.md ve NEEDS-VALIDATION.md içinde önem derecesi, kaynak konumu, yerel yeniden üretim ve en küçük düzeltme önerisi.

Kodumu değiştirir mi?

Hayır. Belgeye göre denetim düzeltmeleri tarif eder, hedef kaynağı değiştirmez; dosyaları varsayılan olarak deponun dışındaki ~/security-audit-skill klasörüne yazar.

Ücretsiz mi?

Skill ücretsiz ve MIT lisanslı. Ancak denetim, kullandığın ajanın model kullanımını harcar; bir denetimin tutarını resmî kaynak vermiyor. Ajan çağrısı sayısıyla bütçe koyabilirsin.

İlgili rehberler

21st MCP

ai-memory awwwards-animations

Brave Search MCP

Chrome DevTools MCP

Claude Code Setup

Kaynaklar

Resmî kaynaklarda net olmayanlar: Bir denetimin token ya da para tutarı · Cloudflare belgesinin adını vermediği ajanlarda (Claude Code, Codex, Cursor) alt ajan davranışı · Claude uygulamasına ZIP ile yükleme · Türkçe rapor · Windows doğrulayıcı hatasının ne zaman düzeleceği · commit'e sabit kurulum yolu. Her biri ilgili bölümde ne yapabileceğinle birlikte yazılı.