现在让任何一个主流编程代理去“审一遍代码安全”它多半会给你交出一份看似全面的报告SQL 注入、XSS、SSRF 列得整整齐齐但仔细一看全是模型对漏洞定义的通识复述既没确认数据流是否真的从用户输入走到了危险函数也没考虑这段代码到底暴露在哪个信任边界之下。我自己在 Codex 上折腾了快两个月得到的最重要结论是模型缺的不是安全知识而是安全工程师那套“先摸清系统、再分模块排查、最后按严重度排序下结论”的工作方法。Cloudflare 开源的 Security Audit Skill就是冲这个问题来的。它是一个跑在 Codex 上的 Agent Skill——本质上是一份结构化的岗位说明书加配套工具包让 Codex 从“能聊安全”变成“会按流程做安全审计”。如果你在用 Codex 写代码或者正在研究智能体编程怎么落地这篇文章会把它的设计思路、安装方式、实测体验和改造方法一次讲清楚。1. Codex 能写代码为什么审不了代码1.1 生成式模型与安全推理的天然矛盾很多人误以为“模型懂安全”就等于“模型会审计”这是两码事。写代码是延续最可能的 token 序列看到一个函数签名模型能把实现补出来但安全审计要求的是反事实推理——如果这里的参数被外部控制会怎样如果中间件顺序换了会不会绕过认证这类问题需要不断构建“恶意输入 → 代码路径 → 影响结果”的假设链条。LLM 在这件事上有两个先天毛病。第一它有迎合倾向你让它找问题它就倾向于找一堆“疑似问题”来显得勤快哪怕证据不足第二它容易走捷径当上下文里塞满了文件它更愿意凭印象给结论而不是逐行追踪数据流。所以你会看到很多 AI 审计报告把 OWASP Top 10 背了一遍却没有一个漏洞真正绑定到了具体代码行和触发条件。这不是模型笨是它缺少一个强制它“按流程走”的外部结构。1.2 Agent Skill一份可以版本化、按需加载的专家手册Agent Skill 是 OpenAI 在 Codex 里引入的机制核心是一个带固定格式的目录。目录里必须有 SKILL.md文件头部是 YAML frontmatter声明这个 Skill 的名字和描述正文则是工作流、规则、检查清单。除了 SKILL.md目录里还可以放参考资料、脚本、模板文件让 Skill 从“一段提示词”变成“一个完整工具包”。它和传统 system prompt 最大的区别在于加载方式。system prompt 是每次会话都要注入的所以必须短小精悍Skill 则是按需加载——Codex 会根据任务内容和你给的提示判断该调用哪个 Skill再把对应文件拉进上下文。这意味着你可以塞几百页的检查清单、几十个脚本进去而日常写代码时完全不受影响。维度普通 system promptAgent Skill加载方式每次会话固定注入按描述匹配后按需加载体积限制必须短小可携带脚本、知识库维护方式散落在各处提示词里独立目录、纳入版本管理复用与组合一次改动影响全部可按项目组合多个 Skill理解了这个机制再看 Cloudflare 的 Security Audit Skill 就很清楚了它把安全审计的方法论做成了标准资产而不是某一次性的 prompt。1.3 Cloudflare 为什么值得做这件事Cloudflare 自己的业务就是安全基础设施内部代码库规模大、框架杂、历史包袱多。他们既要审自己的代码也在用 AI 编程提效所以很早就发现如果把审计流程直接交给裸模型产出的报告根本没法用。开源这套 Skill本质上是把“安全工程师日常是怎么审代码的”这套方法论摊开给大家看先做什么、后做什么、每个步骤要输出什么、哪些事交给确定性工具、哪些事交给语义推理。这对中小团队尤其有意义。很多团队没有专职安全工程师Code Review 基本靠“谁有空谁看”安全知识高度依赖个人经验。现在你可以把一套相对完整的方法论装进 Codex让它在人工 Review 之前先出一轮高质量初筛把最耗时的“通读代码找可疑点”这一步自动化。2. 拆解 Security Audit Skill一次审计被拆成了什么2.1 目录结构方法论和工具分开维护从仓库结构来看这套 Skill 的编排思路很清晰SKILL.md 管流程references 管知识scripts 管工具。security-audit-skill/ ├── SKILL.md ├── references/ │ ├── threat-models.md │ ├── checklists/ │ │ ├── ruby-on-rails.md │ │ ├── node-express.md │ │ └── python-flask.md │ └── gotchas.md └── scripts/ ├── run_semgrep.sh ├── secret_scan.py └── ...这种拆分不是随便分的它对应了三个不同维度的维护频率。SKILL.md 描述的是稳定的工作流几个月才改一次references 里的框架检查清单会随框架版本和团队经验持续增补scripts 则是最容易替换的部分哪天你发现更好的扫描器换掉一个脚本就行不用动主流程。2.2 SKILL.md 的核心工作流五个阶段从仓库文档和我实际跑下来的体验看这套 Skill 把审计拆成了五个阶段每个阶段都有明确的输入输出侦察与架构理解先读项目结构、依赖清单、入口文件画出信任边界。这个阶段不急着找漏洞而是搞清楚“攻击者能从哪进来”“哪些模块负责认证和授权”。威胁建模按业务功能列出资产和威胁比如用户数据、支付流程、后台管理接口再逐个标记风险等级。分模块深挖按照控制器、服务层、数据访问层、前端渲染的顺序逐个文件追查输入校验、参数绑定、SQL 拼接、反序列化等高风险操作。横向专项检查跨文件检查那些“单个文件看不出来”的问题比如认证中间件是否在部分路由上被跳过、日志里是否打印了敏感字段、依赖版本是否过期。汇总输出把发现按严重度排序每个漏洞必须带上入口、触发条件、数据流路径和修复建议。这五个阶段其实没什么玄学就是安全工程师干活的常规顺序。它的价值在于把顺序写死成了指令逼着模型按部就班地走。2.3 内置检查清单覆盖的面references 里按框架分类放了很多检查清单覆盖的漏洞类型大致如下检查类别代表性关注点典型出错位置注入类SQL/NoSQL/命令注入字符串拼接查询、eval/exec认证与会话弱口令策略、会话固定、token 存储登录逻辑、中间件配置访问控制IDOR、批量赋值、水平/垂直越权控制器参数绑定、路由守卫服务端请求SSRF、URL 跳转代理接口、文件下载功能敏感信息硬编码密钥、日志泄露、调试开关配置文件、日志语句依赖风险已知 CVE、过期版本package.json、requirements.txt重点在于检查清单不是让模型背漏洞字典而是每一条都带“如何验证”的说明。比如检查批量赋值漏洞时会明确要求模型去看控制器层是否直接把请求参数绑到了 ORM 模型的允许字段上而不是笼统地报“存在 mass assignment 风险”。2.4 脚本工具的定位确定性工具处理确定性检查这套 Skill 里最值得学习的设计是对“模型该干什么”和“工具该干什么”做了切割。Semgrep 这类静态扫描器擅长模式匹配几秒钟就能扫完整个仓库找出所有符合已知风险模式的代码位置但它不知道这段代码是不是真的可达、业务上能不能被攻击者利用。所以 Skill 的典型用法是先跑一遍脚本把命中列表交给 Codex让它结合业务逻辑逐条判断真伪。这其实就是安全工程师的日常工作方式先让自动化工具做广撒网人只负责在候选列表里做深度分析。让模型的语义理解去补工具的盲区也让工具的确定性帮模型省下通读全仓的时间。3. 实操把 Skill 装进 Codex CLI 并跑一轮真实审计3.1 安装位置与目录约定Codex CLI 的 Skill 默认从两个位置加载用户级目录~/.codex/skills/和项目级目录.codex/skills/。用户级适合放通用技能项目级适合放跟当前代码库强相关的规则。安装很简单mkdir -p ~/.codex/skills git clone https://github.com/cloudflare/security-audit-skill ~/.codex/skills/security-audit装完以后建议先打开 SKILL.md 看一眼 YAML frontmatter 里的 name 和 description 字段。name 是 Codex 在内部引用这个 Skill 用的标识description 则决定了模型“什么时候该想到调用它”。description 写得越具体触发越精准写得太大而空就容易在日常编码时被误触发白白浪费上下文。3.2 调用方式把审计目标说清楚安装只是第一步真正影响结果的是你给 Codex 的任务描述。我实测下来下面这种写法效果最稳codex 对 auth 模块做一次安全审计使用 security-audit skill重点关注认证绕过和水平越权输出按严重度排序的报告每条漏洞附带代码位置和触发条件注意这里面包含了三个关键信息范围auth 模块、重点认证绕过和越权、输出格式按严重度排序、带位置和触发条件。反过来如果你只说一句“帮我审一下这个项目”模型大概率会陷入选择困难最后交出一份什么都提一点、什么都不深入的报告。3.3 审计报告长什么样一次合格的审计输出不应该是一个“发现漏洞列表”而应该是一组“带证据链的结论”。我自己总结的理想模板长这样[HIGH] 管理员接口存在垂直越权 - 位置admin/users.py:42-58 - 入口GET /api/admin/users请求头仅校验登录态 - 触发条件任意普通用户登录后可访问未校验 is_admin - 数据流request.user - require_login - handler - 修复建议补充管理员角色校验或拆到独立路由并加中间件重点在“触发条件”和“数据流”这两栏。它们决定了这个漏洞是真实可利用的还是仅仅长得像漏洞。如果报告里只有“存在越权风险”没有路径那跟没审没区别。3.4 一次真实项目的实测记录我用一个中等规模的 Flask Vue 项目做了实验代码量大概两万行左右分了五个模块。整轮审计跑了大概二十多分钟token 消耗能明显感觉到输出里最终确认了三个真问题、两个假阳性。真问题里有一个是管理员接口缺少角色校验这个位置静态扫描规则完全检不出来因为代码形态上没有可匹配的危险函数只有理解了业务归属才能判断——这就是 Skill 这类方案真正产生增量价值的地方。假阳性也很有代表性一个内部工具函数被标记为“命令注入风险”实际调用方都是白名单内的常量字符串。这说明 LLM 的语义判断也不是万能的人工复核环节必须保留。4. 审计质量的三个关键范围、证据链和假阳性4.1 一次审多少代码才不“飘”这是我在实践中体会最深的一点。让 Codex 一次审计整个 monorepo结果一定是灾难——上下文窗口装不下所有代码模型只能“平均用力”每个模块都浅尝辄止输出的全是大路货。正确做法是按模块、按服务、按信任边界切分。一次审计的目标代码量控制在能让模型把关键文件“真正读进去”的范围内。一套好的检查清单本身就包含范围提示先明确这次审的是入口层还是数据层再决定文件清单。宁可多触发几次也不要一次贪多。4.2 证据链从控告到量刑安全审计不是抓人是定罪而定罪需要证据链。一个 XSS 判断成不成立取决于三件事用户输入是否可控、输入是否经过过滤、数据最终进到了哪个渲染上下文。三个条件缺一个判断就要降级或者推翻。所以我在用 Skill 时会要求 Codex 在报告里显式写出 source → sink 路径和它的前提假设。这样做有两个好处一是迫使模型真正追代码而不是凭印象生成二是把复核成本大幅降低人只需要检查证据链的每个节点是否真实存在而不需要把整个项目重新读一遍。4.3 我在实操中踩过的坑这里集中说几个我踩过的、文档里不会写的坑。第一个坑是 description 写得太宽。一开始我把 Skill 描述成“用于代码安全分析”结果 Codex 在写业务功能的时候也频繁加载它一次普通迭代花掉好几倍的 token。后来我把描述缩小到“当用户要求审计代码安全、漏洞排查或安全 Review 时使用”误触发率立刻降下来了。第二个坑是“全面审计”这个词。只要任务里出现它模型就会试图展示覆盖面结果是每个漏洞类型都给你提一句没有一个能落地。我现在一律要求“按模块审计每个发现必须附带可验证的数据流路径”用输出格式倒逼推理深度。第三个坑是拿 LLM 报告直接提交。就算有证据链模型也可能把不存在的问题说得像真的一样。我见过它把内部数据初始化逻辑描述成“用户可控输入”纯属把两个不相关的变量名联想在了一起。所以我的原则是高危项必须人工复核中低危项抽查复核率不低于三成。第四个坑是检查清单贪多。references 里塞了几十个检查大类模型跑到后半程明显开始偷懒后面的条目变成敷衍的“未发现异常”。后来我把清单做了排序把容易出真问题的认证、授权、注入放在前面把偏合规类的条目放在最后输出质量显著提升。5. 把 Security Audit Skill 改造成你自己的审计标准5.1 给 Skill 添加团队定制检查项Cloudflare 的版本覆盖的是通用场景但你的团队一定有自己最痛的几个问题某个老框架的特定用法、某个历史事故遗留下来的高危模式、某条业务规则要求必须遵守。这些都可以沉淀成自定义检查项。在 references/checklists/ 下面建一个 team-custom.md每条按固定格式写### 密码存储算法 - 检查点新用户密码是否使用 bcrypt/argon2禁止 MD5/SHA1 - 验证方式搜索密码写入逻辑确认使用的 hash 算法 - 误报提示内部 mock 数据与测试 fixture 除外固定格式非常重要它让模型知道“发现现象之后还要做什么”。没有验证方式的检查项模型只会按名字猜然后给你一堆“建议确认”的空话。5.2 把历史漏洞库沉淀成知识这是我认为这套 Skill 最值得长期投入的地方。把团队过去半年的事故报告、安全通告、线上 bug 复盘转成 checklist 条目再把特定框架的冷门坑写进 references/gotchas.md。积累两三个迭代之后这个 Skill 就不再是“Cloudflare 的安全知识”了而是“你们团队的安全知识”。这类知识有个特点网上搜不到模型没有训练数据只有你们自己知道。而 Agent Skill 的目录结构恰好提供了一个让这些隐性知识显性化的容器。每次事故复盘后花十分钟追加一条长期回报非常可观。5.3 从一次审计走向持续 Review我现在的工作流是每个涉及敏感模块的 PR先让 Codex 配合这个 Skill 出一版审计报告我只复核高危项和中危项里的可疑证据链低危项直接忽略。这样一轮人工 Review 的时间基本控制在十几分钟以内而覆盖范围比从前漫无目的地读代码要完整得多。至于全自动的 CI 集成我的建议是分两步走。确定性扫描器密钥扫描、依赖漏洞检查这类直接进 CI没得说但 LLM 的语义层审计先别急着无人值守模型输出的不确定性决定了它更适合放在“人工确认后关闭”的半自动环节。等你们把团队定制的检查清单打磨到足够稳定再把高危规则的判定写死逐步提高自动化比例。我个人最近的习惯是每次审计完都会让 Codex 把“这次新发现的模式”追加到 references/gotchas.md 里。几次跑下来这批沉淀比任何公开的漏洞清单都更贴合我手上的系统也让我对这套 Skill 的价值判断从“尝鲜”变成了“值得长期养”。如果你也想让 AI 编程从“写得快”变成“写得稳”我建议就从一份能落地的安全审计 Skill 开始。