Guía Nº 04 · palabra AUDITORÍAVerificada por nosotros · Windows 11
Security AuditUnos lo buscan, otros intentan desmentirlo.
Security Audit es la skill gratuita de la que nació el sistema con que Cloudflare revisa su propio código. Tu agente busca fallos con varios ayudantes y solo te reporta lo que resiste.
Lo que traen los que buscan
Confirmada
Ninguna en esta pasada
Por validar
Ninguna
No resiste
Ninguna
Las tres primeras son las pistas de nuestra prueba; la cuarta, algo que la revisión comprobó que estaba bien. Toca cualquiera para leer por qué cayó ahí.
- Sirve si
- Vas a publicar algo que guarda datos de clientes, recibe pagos o abre un formulario al público.
- No vale la pena si
- Es una página informativa sin formularios ni cuentas: hay poco que atacar.
- Cuesta
- La skill es gratis. Gasta bastante uso de tu plan: lanza muchos agentes.
- Tarda
- Minutos para instalarla; una pasada, de quince minutos en adelante.
Que no encuentre nada no quiere decir que no haya nada
Adivina antes de seguir
Una auditoría con IA revisa el código de tu web y no confirma ningún fallo. ¿Qué quiere decir?
La respuesta:
Ninguna revisión ve todo a la primera. Cloudflare lo midió con esta misma herramienta: una sola pasada encontró cerca de la mitad de los fallos que encontraron varias pasadas juntas. Por eso se corre más de una vez, y cada pasada nueva busca donde la anterior no miró.
Quien encuentra un fallo nunca lo confirma
Es la regla de cualquier control interno, aplicada a agentes de IA. No hace falta saber programar para entenderla:
Con Security Audit
El auditor recorre las áreas y anota lo que le parece raroEl médico de guardia sospecha un diagnóstico
Varios agentes buscan fallos, cada uno desde un ángulo distinto
El supervisor pide la evidencia de cada hallazgoAntes de operar, otro especialista revisa los exámenes
Otro agente, que no participó, intenta desmentir cada pista
Al informe solo llega lo que tiene papelesSolo se trata lo confirmado
Solo te reporta como fallo lo que resistió
Lo que no se pudo comprobar queda como pendienteLo dudoso se pide un examen más
Lo que no pudo probar queda “por validar”, con el dato que falta
Así la probamos
La corrimos sobre el código de nuestra propia web, que tiene un chat y un formulario de contacto.
El encargo
Tú
"Haz una auditoría de seguridad de este proyecto." Con eso basta: la skill se activa sola.
El mapa
La skill
Primero dibuja por dónde entra y sale información: qué recibe el chat, qué guarda el formulario, qué claves necesita.
La búsqueda
Los que buscan
Varios agentes revisan el código al mismo tiempo, cada uno con un tipo de ataque distinto. Un crítico revisa después qué quedó sin mirar.
La verificación
Verificador
POR VALIDAR
Cada posible fallo pasó a un agente nuevo. Ninguno quedó confirmado: los que encontró dependían de configuraciones que viven en el panel de Cloudflare, no en el código.
El resultado
Lo que entregó
Un informe con lo que revisó, lo que quedó pendiente y qué mirar en el panel para cerrarlo. No cambió ni una línea del proyecto.
Cuántas pasadas según lo que publicas
Cada pasada lanza muchos agentes y gasta bastante de tu plan. Una página informativa, sin formularios ni cuentas, casi no tiene nada que atacar: ahí no hace falta. A partir de que guardas algo de alguien, sí.
Un formulario de contacto: una pasada
Contacto, cotizaciones, reclamos. Es la puerta más común por donde entra basura o se filtra lo que otros escribieron.
En juego
Un portal con clientes que inician sesión: varias pasadas
Lo típico es que un cliente pueda ver lo de otro cambiando un número en la dirección. Cada pasada nueva busca donde la anterior no miró.
En juego
Cualquier cosa que cobre en línea: varias pasadas y una persona experta
Un pago que se registra sin cobrarse no se ve a simple vista; se ve a fin de mes. Una IA reduce el riesgo; la firma final sigue siendo de alguien que sabe.
En juego
Lo que no hace
Se creeSi no encuentra nada, tu sistema es seguro.
En realidadUna pasada encuentra más o menos la mitad. Sin hallazgos quiere decir "en esta pasada, nada comprobado".
Se creeAtaca tu web en vivo.
En realidadLee el código. No toca tu servidor ni tus datos reales, y lo que no puede comprobar sin ejecutar nada lo deja como pendiente.
Se creeArregla los fallos.
En realidadTe los reporta con la evidencia y una propuesta de arreglo. Cambiar el código sigue siendo decisión tuya.
El taller · en tu computadora
0 de 2 pasos listos
Esto se hace en una computadora. ¿La estás leyendo en el celular?
Instálala en dos pasos
Antes de empezar
- Un agente de código que pueda lanzar ayudantes en paralelo, como Claude Code o Codex, con tu cuenta iniciada.
- Node.js. Es gratis: se baja de nodejs.org.
- El código del proyecto que quieres revisar, en tu computadora.
Instala la skill
Abre la terminal: la ventana de texto donde se escriben comandos. En Windows se llama Terminal o PowerShell. y pega:
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit --globalSi te pregunta en qué agentes instalarla, marca los que usas y confirma. Con --global queda disponible en
todos tus proyectos, no solo en la carpeta donde estás. La skill: un paquete de instrucciones que le enseña a la IA una forma de trabajar. Se instala dentro de la herramienta que ya usas. se carga sola cuando le pides una auditoría.
Abre una sesión nueva
Cierra tu agente y vuelve a abrirlo dentro de la carpeta del proyecto. Las skills se cargan al empezar una sesión.
Úsala
Pídeselo en tus palabras. Estas son las tres formas que propone el repositorio:
Haz una auditoría de seguridad de este proyecto.Busca fallos de seguridad solo en la carpeta src.Haz una revisión de seguridad y guarda el informe en ~/auditorias/mi-proyectoSi no le dices dónde guardar el informe, lo deja fuera de tu proyecto, en una carpeta
security-audit-skill dentro de tu usuario. Nunca escribe dentro del proyecto revisado salvo que tú se lo
pidas.
Para la segunda pasada, pídeselo otra vez en el mismo proyecto: lee lo que hizo la primera y busca donde no miró.
Lo que vas a ver
## 3. Hallazgos confirmados
Ninguno. Cero registros `confirmed` en `findings.json`.
## 5. NEEDS VALIDATION (pistas sin severidad,
no son vulnerabilidades confirmadas)Cada hallazgo sale con uno de tres veredictos: confirmed (comprobado, con la evidencia y su gravedad), needs_validation (hay una pista, pero falta un dato que no está en el código, y te dice cuál) o rejected (el verificador lo desmintió). Junto al informe quedan el detalle de cada hallazgo y la lista de lo que quedó por revisar.
¿No te salió así?
¿Qué ves en pantalla?
Todo queda “por validar” y nada confirmado
Un validador dice que no puede abrir un archivo
Responde con consejos y no hace la auditoría completa
Se te acaba el uso del plan a la mitad
Enlaces
- Security Audit, repositorio oficial, con la documentación en inglés: https://github.com/cloudflare/security-audit-skill
- Cómo Cloudflare construyó su sistema a partir de esta skill (en inglés): https://blog.cloudflare.com/build-your-own-vulnerability-harness
- El instalador de skills: https://skills.sh
Sigue la serie
La próxima guía llega con su video.
Cada una sale de un Reel de @sage.lat. Comentas la palabra y te llega aquí, gratis.
- Nº 01La que lo construye nunca lo califica.
- Nº 02Entender cómo está hecho algo, sin los planos.
- Nº 03 · sale prontoTu IA ya es capaz. La skill le dice cómo se trabaja aquí.SKILL
- Nº 05 · sale prontoTrata a tu IA como a un empleado nuevo.NIVEL
- Nº 06 · sale prontoTu web se ve genérica porque tu agente escoge lo de siempre.DISEÑO
Aviso. Claude Code, Codex son de sus autores; no estamos afiliados a ellos ni a los dueños de las marcas que se nombran. Esta guía explica su trabajo y enlaza la fuente oficial: se instala desde ahí, bajo tu responsabilidad y según su licencia. Más en la política de privacidad. © SAGE, el texto de esta guía.
