Cloudflare 程式碼安全稽核技能 GitHub 星標約6.56萬

Cloudflare（NET）公開的程式碼安全稽核技能，其 GitHub 儲存庫截至8日累積約6萬5600個星標。這項公開工具會引導程式碼代理尋找疑似漏洞，再交由另一個代理檢視。

GitHub 儲存庫頁面顯示65.6k個星標與4.3k次 fork。這兩項數字都經過四捨五入，僅從頁面無法得知星標的確切總數。

各追蹤平台對11月7日星標增加數的統計並不一致：RepoRadar統計為2088個，RepoTrending為2520個，Ageshio則為2548個。

Trendshift索引的@trending_repos X貼文稱，24小時內增加2088個星標；但同一頁面的11月7日每日統計表列出1583個。貼文與每日統計表的基準時間及統計區間是否相同，目前無法確認，因此難以將增加數統一為單一數字。

星標可作為觀察儲存庫受關注程度的指標，但不代表實際安裝或執行規模，也不代表漏洞偵測效能。僅憑GitHub顯示的星標數及追蹤網站的增加數，無法判斷工具的使用情況或安全成效。

這個儲存庫以MIT授權公開，定位並非獨立漏洞掃描器，而是為程式碼代理提供分階段稽核流程。稽核從偵察開始，檢查程式碼結構、信任邊界與外部輸入點。

接著，流程會劃分稽核範圍並尋找疑似漏洞，再由最初發現問題的代理與另一個代理共同反駁、驗證候選項目。整套流程共分6個階段，涵蓋撰寫結構化結果、交由另一個代理驗證，以及產出報告。

發現項目會以「已確認（confirmed）」、「需要驗證（needs_validation）」或「已駁回（rejected）」分類，並記錄在findings.json中。這套設計會區分驗證狀態，不會把所有候選項目都直接視為已確認漏洞。

Cloudflare在6月18日發布的技術文章中，將這項約450行、用於檢查單一儲存庫的技能，介紹為更大型漏洞偵測系統的起點。公開的技能不代表Cloudflare的完整偵測系統。

Cloudflare表示，依據自家測試，單次執行找到的漏洞約為重複執行所發現漏洞的一半。這是公司的內部測試經驗，並非獨立機構測得的效能結果。

Hacker News討論中有人肯定這套稽核流程。留言分享了個人使用token的經驗，也有人建議先從較小範圍著手；另有提問詢問為何需要作業系統層級的沙箱。

本報先前曾報導輝達（NVIDIA）驗證947項AI技能，內容涉及透過實際代理執行來驗證AI技能的案例。

這個儲存庫適用於通用程式碼儲存庫。公開文件未提供將其用於智慧合約、錢包或交易所程式碼的測試結果。

使用者需要搭配支援工具呼叫與平行子代理的程式碼代理，並準備Node.js來執行驗證器。文件建議在作業系統層級的沙箱中隔離目標程式碼的建置、測試與程序執行。

文件要求沙箱封鎖外部網路、設定環境變數允許清單與資源限制，並只允許寫入指定路徑。若無法滿足必要的隔離條件，就不應執行目標程式碼，相關發現則會保留為「需要驗證」。