Esta es la skill de seguridad que mostré en el reel, con el comando para instalarla y los prompts para correrla sobre tu proyecto. Son cuatro pasos.
La idea en una línea
El que escribió el código no puede ser el mismo que lo revisa. Esta skill hace que lo revisen otros agentes, y que cada error que aparece lo tenga que defender frente a uno más.
Qué es y de dónde sale
Es una skill de código abierto que publicó Cloudflare, la empresa por la que pasa buena parte del tráfico de internet. La armaron para buscar errores de seguridad en su propio código y después la dejaron en GitHub con licencia MIT, así que la podés usar en lo tuyo.
Repo: github.com/cloudflare/security-audit-skill
Trabaja en tres pasos:
- Analiza la estructura. Recorre tu proyecto y anota por dónde entran los usuarios y dónde quedan los datos.
- Reparte agentes por zonas. Cada uno busca errores en una parte distinta, en paralelo.
- Verifica cada error con otro agente. Ese agente tiene un solo trabajo: demostrar que el error no existe. Si no puede, el error queda.
Qué necesitás
- Un agente de código que pueda lanzar varios agentes a la vez: Claude Code, Codex o el que uses. No funciona en el chat común de ChatGPT o de Claude, porque tiene que leer los archivos de tu proyecto.
- Node.js instalado.
- Tu proyecto en una carpeta de tu computadora.
Un aviso: manda muchos agentes (en mi caso fueron 29), así que consume bastante del plan que tengas.
Paso 1: instalala
Abrí la terminal en la carpeta de tu proyecto y pegá esto:
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
Si la querés disponible en todos tus proyectos, sumale --global al final.
Paso 2: correla
Abrí tu agente de código en la carpeta del proyecto y escribile:
hacé una auditoría de seguridad de este proyecto
No hace falta nombrar la skill. Se activa sola cuando le pedís una auditoría.
Paso 3: leé el informe
Cuando termina deja una carpeta fuera de tu proyecto, en security-audit-skill/nombre-de-tu-proyecto/run-1, dentro de tu carpeta de usuario. Abrí REPORT.md. Cada cosa que encontró cae en uno de tres grupos:
- Confirmado: el error existe y otro agente no pudo desmentirlo. Esto se arregla.
- A validar: hay una pista, pero falta un dato para confirmarla. No es un error todavía.
- Rechazado: otro agente demostró que no era un error.
Empezá por los confirmados y mirá la severidad. En mi app fueron 7, todos de severidad baja, y en más de la mitad pasaba lo mismo: con solo saber el mail de alguien, cualquiera podía cambiarle los datos.
Paso 4: arreglá y corré de nuevo
Para arreglar, pedile esto a tu agente:
leé el REPORT.md de la última auditoría de seguridad de este proyecto y arreglá los errores confirmados de a uno. Antes de cada cambio explicame qué vas a tocar y por qué.
Después corré la auditoría otra vez con el mismo prompt del paso 2. La segunda corrida lee lo que hizo la primera y va directo a lo que quedó sin revisar. A mí me encontró un error más.
No es un detalle mío: Cloudflare cuenta en el repo que, en sus pruebas, una sola corrida encontró más o menos la mitad de lo que encontraron varias corridas juntas.
Lo que casi todos se saltean
- Que no encuentre nada no quiere decir que tu app sea segura. Quiere decir que estos agentes no encontraron nada en lo que llegaron a revisar. El informe te dice qué zonas quedaron sin mirar.
- "A validar" no es para ignorar. Son las pistas que no pudo cerrar. Leelas, porque ahí suele estar lo que la segunda corrida confirma.
- El informe no se comparte. Explica cómo aprovechar cada error. No lo subas a un repo público ni lo pegues en un chat grupal.
- Si tu app maneja plata o datos sensibles, esto no reemplaza a una persona de seguridad. Te sirve para llegar a esa revisión con lo básico ya resuelto.
Para copiar: todo junto
1. Instalar (en la terminal, dentro de tu proyecto): npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit 2. Primera corrida (en tu agente de código): hacé una auditoría de seguridad de este proyecto 3. Arreglar: leé el REPORT.md de la última auditoría de seguridad de este proyecto y arreglá los errores confirmados de a uno. Antes de cada cambio explicame qué vas a tocar y por qué. 4. Segunda corrida: hacé una auditoría de seguridad de este proyecto
Guía armada por Leonardo Montano · consultor de IA · @laiasinverso
