Cloudflare buka 'security-audit', skill AI untuk audit keamanan kode

Repositori cloudflare/security-audit-skill sedang menanjak di halaman GitHub Trending mingguan. Per tanggal 28 Oktober 2026, repo ini memiliki sekitar 50,6 ribu bintang dan 3,2 ribu fork, dengan lisensi MIT. Halaman trending mencatat tambahan lebih dari 16 ribu bintang dalam sepekan.

Apa fungsinya

Repo ini berisi sebuah “skill”, yaitu kumpulan instruksi yang dimuat oleh agen pemrogram AI agar berperan sebagai auditor keamanan. Skill ini menjalankan audit dalam enam tahap: pengintaian, perburuan celah berbasis cakupan, validasi kandidat temuan, keluaran terstruktur, verifikasi independen atas catatan, dan penyusunan laporan.

Aturan intinya sederhana. Agen yang memeriksa sebuah temuan tidak boleh sama dengan agen yang menemukannya. Setiap temuan lalu diberi salah satu dari tiga status: terkonfirmasi, perlu validasi, atau ditolak. Menurut dokumentasinya, pengulangan audit pada repo yang sama bersifat menambah hasil, bukan menimpa.

Cloudflare menyebut skill ini sebagai titik awal untuk satu repositori dari sistem internalnya. Menurut ulasan Fireup, sistem internal itu memindai 128 repositori, menghasilkan 20.799 kandidat mentah, dan sekitar 12.057 di antaranya lolos validasi. Cloudflare mengatakan manusia meninjau setiap perbaikan sebelum digabungkan. Versi lengkapnya belum dipublikasikan dan disebut akan menyusul.

Untuk siapa dan cara memulai

Sasarannya pengembang dan tim keamanan yang sudah memakai agen pemrogram AI. Syaratnya: model yang mampu memakai alat dan menjalankan sub-agen paralel, serta Node.js untuk validator.

Pemasangan memakai perintah npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit, dengan tambahan --global untuk pemasangan tingkat pengguna. Setelah itu, cukup minta agen, misalnya “security audit this codebase”. Laporan secara bawaan ditulis di luar repo, di folder ~/security-audit-skill/<nama-repo>/run-<N>.

Secara bawaan skill hanya membaca kode. Menjalankan kode target memerlukan sandbox tingkat sistem operasi tanpa akses jaringan luar. Tanpa sandbox, dugaan celah tetap berstatus perlu validasi.

Batasan

Fireup mencatat bahwa tingkat positif palsu belum dipublikasikan dan satu kali audit hanya menemukan sebagian dari total celah yang bisa terungkap lewat beberapa kali audit. Jadi alat ini membantu, tetapi bukan jaminan kode bebas celah.

Artinya bagi pemilik rumah di Jabodetabek

Berita ini tidak langsung menyangkut bangunan, tetapi menyentuh hal yang makin lekat dengan rumah: perangkat lunak. Kamera pengawas, kunci pintar, panel listrik berbasis aplikasi, hingga aplikasi pengembang untuk serah terima unit dan cicilan KPR semuanya bergantung pada kode. Alat audit yang murah dan terbuka berpotensi membuat pengembang dan penyedia aplikasi lebih cepat menutup celah. Namun hasilnya tetap bergantung pada siapa yang menjalankannya dan apakah temuan ditindaklanjuti. Bagi pemilik rumah, langkah praktisnya tetap sama: perbarui firmware perangkat rumah, ganti kata sandi bawaan, dan tanyakan kepada pengembang atau vendor bagaimana mereka menguji keamanan sistem yang terhubung ke data pribadi Anda.