security-audit-skill

Cloudflare open-sourced the skill that turns your coding agent into a security auditor, with fresh verifiers trying to kill every finding. 🔗 cloudflare/security-audit-skill #securityauditskill #cloudflare #javascript

If you are a vibe coder like me. Use this cloudflare auditing skill to audit your web application cloudflare/security-audit-skill #AI #vibecoding You do not know what you do not know. Knowing security and this recipe will help you harden your app.

Cloudflare’s free Security Audit skill: fresh agents challenge each finding. Would you trust the report? I’m Obi, the builder of RepoQuarry. Sky breaks down Cloudflare’s Security Audit skill in this one-minute video. Sky is an AI-generated presenter. The interesting part is the verification: separate agents hunt for issues, then fresh verifiers try to disprove each candidate. It is MIT licensed, but the coding agent/model may cost money. The limits matter: this is an on-demand audit of one repo, not ongoing dependency, container or CI monitoring. We reviewed the documentation; we haven’t run the skill ourselves. Stars show popularity, not security assurance. Dashed historical chart points in the video are estimates. Credit to Cloudflare and contributors: cloudflare/security-audit-skill RepoQuarry breakdown and sources: repoquarry.dev What would you want to see in a finding before spending time fixing it: a source trace, a reproducer, or an independent review? reddit.com

A skill is instructions plus scripts that run as you. Audit the folder first. Before you install an Agent Skill, run this. One script, no dependencies, about ten seconds: #!/usr/bin/env bash # skill_audit.sh - answer one question before installing an Agent Skill: # "What can this folder actually do on my machine?" # # Usage: ./skill_audit.sh <skill-dir> # Exit: 0 = no flags, 1 = flags found (read them, then decide), 2 = could not run. # # Contract checks follow the published specification (agentskills.io/specification): # name 1-64 chars, lowercase alnum with single hyphens, must match the folder; # description 1-1024 chars; scripts/ holds executable code the agent runs. set -u DIR="${1:-}" [ -n "$DIR" ] && [ -d "$DIR" ] || { echo "usage: $0 <skill-dir>" >&2; exit 2; } SKILL="$DIR/SKILL.md" [ -f "$SKILL" ] || { echo "STRUCT: no SKILL.md under $DIR" >&2; exit 2; } FLAGGED=0 flag() { echo "FLAG: $1"; FLAGGED=1; } # --- 1. frontmatter contract (spec) --------------------------------------- NAME="$(sed -n 's/^name:[[:space:]]*//p' "$SKILL" | head -1 | tr -d '\r' | sed 's/^"\(.*\)"$/\1/')" DESC="$(sed -n 's/^description:[[:space:]]*//p' "$SKILL" | head -1 | tr -d '\r' | sed 's/^"\(.*\)"$/\1/')" FOLDER="$(basename "$DIR")" [ -n "$NAME" ] || flag "name missing from frontmatter" if [ -n "$NAME" ]; then echo "$NAME" | grep -qE '^[a-z0-9]+(-[a-z0-9]+)*$' \ || flag "name '$NAME' is not lowercase alnum with single hyphens" [ "${#NAME}" -le 64 ] || flag "name longer than 64 characters" [ "$NAME" = "$FOLDER" ] || flag "name '$NAME' does not match folder '$FOLDER'" fi [ -n "$DESC" ] || flag "description missing from frontmatter" [ "${#DESC}" -ge 1 ] && [ "${#DESC}" -le 1024 ] || flag "description outside the 1-1024 range" # --- 2. what executable code ships in the folder --------------------------- if [ -d "$DIR/scripts" ]; then COUNT="$(find "$DIR/scripts" -type f | wc -l)" echo "SHIPS: $COUNT file(s) under scripts/:" find "$DIR/scripts" -type f | sed "s|^| |" else echo "SHIPS: no scripts/ directory" fi # --- 3. files the instructions point at actually exist --------------------- MISSING=0 for ref in $(grep -oE '(scripts|references|assets)/[A-Za-z0-9_./-]*[A-Za-z0-9]' "$SKILL" | sort -u); do [ -e "$DIR/$ref" ] || { echo "FLAG: SKILL.md references missing file: $ref"; MISSING=1; } done [ "$MISSING" -eq 1 ] && FLAGGED=1 # --- 4. loud patterns in code; concealment phrasing in instructions -------- # A pattern error must fail closed: grep exits 2 on a broken expression, and # "no output" must never be read as "nothing found" when the scan itself broke. LOUD='curl|wget|http://|https://|[.]ssh|id_rsa|keychain|AWS_SECRET|AWS_ACCESS|base64 -d|base64 --decode|[^a-z]eval |exec\(|crontab|systemctl|launchctl' if [ -d "$DIR/scripts" ]; then OUT="$(grep -rInE "$LOUD" "$DIR/scripts" 2>/dev/null)"; RC=$? if [ "$RC" -gt 1 ]; then flag "loud-pattern scan errored; fix the pattern, do not trust the silence" elif [ -n "$OUT" ]; then echo "$OUT" | sed "s|^|FLAG: script pattern |" FLAGGED=1 else echo "OK: no network / credential / obfuscation / persistence patterns in scripts/" fi else echo "SKIP: no scripts/ directory to scan" fi HIDE='ignore (all |any )?(previous|prior) instructions|do not (tell|inform|show) the user|without (asking|telling) the user' OUT="$(grep -rInEi "$HIDE" "$DIR" 2>/dev/null)"; RC=$? if [ "$RC" -gt 1 ]; then flag "concealment scan errored; fix the pattern, do not trust the silence" elif [ -n "$OUT" ]; then echo "$OUT" | sed "s|^|FLAG: instruction |" FLAGGED=1 else echo "OK: no concealment phrasing found in any file" fi # --- 5. declared tool scope ------------------------------------------------- if grep -q '^allowed-tools:' "$SKILL"; then echo "NOTE: allowed-tools present (experimental field; support varies by agent)" else echo "NOTE: no allowed-tools field; the skill inherits the agent's full permissions" fi [ "$FLAGGED" -eq 0 ] && echo "PASS: contract intact, no loud patterns. Now read the files." exit $FLAGGED That is the whole audit. The rest of this post is why each check exists, and what it cannot see. Why this week On October 22, 2026, Anthropic donated the Agent Skills standard to the Agentic AI Foundation (AAIF) under the Linux Foundation. The donation covers the name and logo, the GitHub organization, and the agentskills.io domain. The AAIF, co-founded by Anthropic, Block, and OpenAI, already hosts MCP; the same announcement added Open Responses from OpenAI, OpenEnv from Hugging Face, and OpenSandbox from Alibaba, bringing the roster to ten projects. Anthropic's numbers for the format: more than 70 platforms have integrated it since the standard was published in December 2025, about 1 million skills have been published, and nearly 280 million installs have happened. The proposed roadmap covers versioned releases, a formal proposal process, and security guidance for people who write and install skills. The announcement describes all three as proposed; it gives no date. What that changes is who owns the specification. What it does not change is what happens when you install a skill. A skill is a folder with a SKILL.md file plus any scripts and reference material it needs. The specification is explicit that scripts/ holds executable code. And the skill runs with the permissions of the agent that loads it: shell access, the filesystem, credentials in the environment, messaging channels, and memory that survives the session. The measurement of that risk already exists. Snyk's ToxicSkills study, published February 5, 2026, scanned 3,984 skills from ClawHub and skills.sh. 13.4% of them, 534 skills, had at least one critical-severity issue, covering malware distribution, prompt injection, and exposed secrets. At any severity, 36.82%, or 1,467 skills, had at least one security flaw. After human review, Snyk confirmed 76 malicious payloads built for credential theft, backdoor installation, or data exfiltration; 8 of those were still installable at publication. The barrier to publishing, in the report's own words: a SKILL.md file and a GitHub account one week old. No code signing, no security review, no sandbox by default. The same week, Cloudflare's security-audit-skill spent five days at or near the top of GitHub's trending list. That is the shape of a reviewable skill: a public repository, a stated six-phase workflow, machine-readable verdicts (confirmed, needs_validation, rejected), a MIT license, and a design principle that the agent which checks a finding is never the agent that found it. It installs with one line. Most skills you will meet are not that documented. The script above is for those. One distinction worth keeping while the story is fresh: the foundation governs the specification, not the distribution channels. The donation announcement creates no official registry and no pre-publication review, and skills keep circulating through third-party catalogs. The format is portable now. The trust decision is still local, which is what the rest of this post is about. What each check is for Check 1 is the specification's contract, read off the folder. A name that is not lowercase alphanumeric with single hyphens, or longer than 64 characters, or different from the folder name, is either broken or not written to the standard. The name-must-match-folder rule is the one that matters for typosquatting: from the filesystem side, a lookalike name in a mismatched folder is the cheapest signal you get. Check 1's other half, the 1-1024 character description, is the field the agent reads at startup to decide whether to activate the skill at all. An empty or bloated description is a loading-behavior problem, not a style problem. Check 2 answers the question people forget to ask: does this folder contain code, and how much. scripts/ is where the specification puts executable code, and that code runs with your permissions. Listing the files takes one second and changes how you read the SKILL.md that follows. Check 3 is the dangling reference. The instructions point at files in scripts/, references/, and assets/; a reference that does not exist is either sloppiness or a loader that fetches something else at runtime. Check 4 is the loud-pattern pass over the code only. Network fetchers, SSH and key paths, AWS credential variable names, base64 decoding, eval and exec, and persistence hooks are the shapes that appear in the report's threat taxonomy. They are also shapes that appear in legitimate skills, which is why the output is a FLAG line to read, not a verdict. The concealment-phrasing pass covers the instruction layer: "ignore previous instructions", "do not tell the user", "without asking the user". None of these phrases proves malice; all of them justify opening the file. Check 5 reads the declared tool scope. allowed-tools is experimental and support varies by agent, so its absence is normal. What matters is knowing that its absence means the skill inherits the agent's full permissions, not a reduced set. What the script cannot check The gap that matters is between what a skill documents and what it does. Static inspection of a SKILL.md is not sufficient, because a skill that reads cleanly and fetches code at runtime looks identical to one that does not. That case needs a sandbox and a human reading the fetched content, not a grep. Three smaller limits, stated so you do not trust the script past its reach: - Files outside scripts/ are not pattern-scanned. A payload in a top-level file or a non-standard directory is not covered by check 4's code pass. - The description length is counted in bytes, while the specification counts characters. A description heavy in multibyte text can trip a false flag near 1024. - Multi-line YAML descriptions (folded scalars) parse as their first line here. A skill using that style will report a short description. And the obvious one: this script never executes the skill. It tells you what to read before you do. Pin what you reviewed The habit that makes the audit worth anything: install the version you read, not a moving branch. Copy the reviewed folder into your skills directory, or pin the commit, and treat an update the way you treat a dependency upgrade: diff it before it loads. Run anything you are unsure about in a throwaway environment first, without production credentials. And re-read the skill when the description changes, because the description is what the agent matches on, and a broadened description is how a skill written for one task starts showing up in all of them. Run it over what you already have The audit is more useful pointed backward than forward. The skills already on your machine were installed before you thought to check them. If your agent keeps them in a skills directory, point the script at every folder in it and read the flags: for d in .claude/skills/*/ "$HOME"/.claude/skills/*/; do [ -d "$d" ] && ./skill_audit.sh "$d" done The inventory is the part worth having even when nothing is flagged: a list of what code runs with your permissions, per skill, is the artifact you will want the next time a skill updates itself. Sources - Anthropic, "Donating Agent Skills to the Agentic AI Foundation," October 22, 2026: anthropic.com - The Linux Foundation, "Agentic AI Foundation Announces Four New Projects: Agent Skills, Open Responses, OpenEnv, and OpenSandbox," October 22, 2026: linuxfoundation.org - Agent Skills specification, accessed October 26, 2026: agentskills.io - Snyk, "ToxicSkills: Malicious AI Agent Skills in the ClawHub Supply Chain," February 5, 2026: snyk.io - cloudflare/security-audit-skill, GitHub repository, accessed October 26, 2026: cloudflare/security-audit-skill - Tommy Z, "GitHub Trending Weekly Digest - October 19-24, 2026," October 24, 2026 (source of the five-day trending claim): tommyz.blog - I-Scoop, "Agent Skills gets a neutral home, and your organisation's know-how becomes portable," October 2026 (pinning advice; independent restatement of the Snyk figures): i-scoop.eu - DATASUMI, "Best Agent Skills for Claude Code 2026" (sandbox-first and re-review-on-update advice): datasumi.com - MACCUS, "Anthropic hands Agent Skills, the format behind Claude skills, to the Linux Foundation," October 2026 (no official registry or review gate in the announcement): maccus.fr This post was written with AI assistance. The author is responsible for its content.

"The AI said it''s done" is not proof. "Fixed. The signup form now rejects bad emails." You've probably read a line like that from an AI coding tool. Maybe it was true. Maybe the form still let bob@ straight through. The problem usually isn't the model or the prompt. Nobody made it prove the claim. In part 3 I gave Claude a way to see the code clearly. This post is about the next step: getting it to show its work before you believe it. The best example I've found of this isn't mine. It's Cloudflare's. What Cloudflare open-sourced In June 2026, Cloudflare published the security audit skill that seeded their vulnerability discovery harness. That harness grew into a multi-stage system they run across their whole fleet. They describe it in their blog post. A skill is a reusable set of instructions you give an AI coding tool, so it follows the same method every time. It's MIT licensed. When I checked, it had about 53,000 stars and 3,400 forks on GitHub. The six stages Each stage has one job: 1. Map the code. Learn what the project is and where the risky parts live. 2. Hunt. Separate hunters look for bugs, each working alone. 3. Try to disprove. Every suspected bug goes to a fresh reviewer whose job is to knock it down. 4. Sort. Each one becomes confirmed, needs validation or rejected. 5. Check again. New agents verify the final list. 6. Report. Stages 3 to 5 are the interesting part. Half the system exists to doubt the other half. The rule worth stealing From the repo's design principles: > Adversarial validation > "The agent that checks a finding is never the agent that found it." That one line works far outside security. Why not just ask "are you sure?" That's the obvious move. Ask the same AI to double-check its own work. It rarely works well, for a simple reason. The agent that made the claim already believes it. It wrote the reasoning, so the reasoning looks right to it. | Approach | What really happens | |---|---| | Ask the same agent "are you sure?" | It rereads its own logic and agrees with itself | | Ask it to "test the fix" | It often writes tests that match what it built, not what you wanted | | A fresh checker told to disprove it | It starts with no stake in the answer, and its job is to find the hole | Think of a student marking their own exam. They know what they meant, so they read every answer generously. A second marker only sees what's on the page. Three verdicts, not two Most of us treat AI output as pass or fail. Cloudflare's skill uses three outcomes: - Confirmed: the checker tried to break it and couldn't. - Needs validation: not proven yet. The skill writes down the exact fact that's still missing. - Rejected: the checker found the hole. The middle one matters most. Without it, "I couldn't quite tell" quietly turns into "probably fine". The repo is strict here: "Only confirm established boundary failures." Another principle stops claims from getting inflated: "Severity requires impact." A bug only counts as serious if you can say what actually goes wrong. Run it more than once This line from the repo is easy to skim past: > "In our test runs, a single run found roughly half of the vulnerabilities that repeated runs found in total." AI runs don't come out the same twice. Each one notices different things. So one clean run doesn't mean there's nothing left to find. Try it in your own AI coding work You don't need a security system to use these ideas. Here's the same pattern for an everyday task. Say your AI tool says it fixed a dark mode bug, where the settings page stayed white. 1. Start a fresh session. Not the one that wrote the fix. A new chat, with no memory of the reasoning. 2. Hand it the claim and ask it to disprove it: Another agent claims this change fixes the bug where the settings page stays white in dark mode. Your job is to prove that claim wrong. Look at the change and the code around it. Find any case where the page could still show the wrong colours. End with one verdict: - CONFIRMED: you tried and could not break it. Say what you checked. - NEEDS VALIDATION: you can't tell. Name the exact fact you're missing. - REJECTED: you found a case where it still fails. Show it. 3. Treat "needs validation" as open. Check the missing fact yourself, or give the checker what it needs and run it again. 4. For bigger changes, run the checker twice. If two runs come back with different holes, you've just learned something. > Keep the checker separate > If the checker can see the original agent's reasoning, it tends to adopt it. Give it the claim and the code, not the conversation. Want the real thing? If you do want a security audit, the repo has an install line: npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit Read the README first. It explains each stage and the format of the findings. Check it worked You'll know the pattern is working when your checker sometimes says REJECTED or NEEDS VALIDATION. If it confirms everything, it isn't really trying. Make the prompt more hostile, or hand it a claim you already know is wrong and see if it catches it. Credit where it's due The design here is Cloudflare's: the security audit skill and their blog post on the harness. I'm pointing at it because the core idea travels well beyond security. Next in Claude Maxxing Part 1 gave Claude a desk. Part 2 gave it a memory. Part 3 gave it eyes. Part 4 is about not taking its word for it. If an AI has ever told you a bug was gone and it wasn't, I'd like to hear how you caught it. Get in touch.

8 free github repos that make f*ck you money Get the full business plan for each repo (including prompts, outreach scripts, and step-by-step details for each offer) FREE here: skool.com Join AI Operator Academy to close your first (or next) AI services client within 90 days or get 100% of your money back: skool.com Links mentioned in this episode: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Timestamps: 00:00 Introduction 00:24 Voice Studio 03:16 Security Audit Skill 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusion FIND ME ON SOCIAL: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [ar] 8 مستودعات GitHub مجانية ستجعلك ثرياً جداً احصل على خطة العمل الكاملة لكل مستودع (بما في ذلك التوجيهات، ونصوص التواصل، وتفاصيل كل عرض خطوة بخطوة) مجانًا هنا: skool.com انضم إلى أكاديمية مشغل الذكاء الاصطناعي لإتمام أول (أو ثاني) صفقة لك مع عميل في مجال خدمات الذكاء الاصطناعي خلال 90 يومًا أو استرد أموالك كاملةً: skool.com الروابط المذكورة في هذه الحلقة: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link الفهرس الزمني: 00:00 مقدمة 00:24 Voice Studio 03:16 Security Audit Skill 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 خاتمة تابعني على مواقع التواصل الاجتماعي: تويتر: x.com إنستغرام: instagram.com لينكد إن: linkedin.com يوتيوب: youtube.com coreyganim.com [bn] ৮টি ফ্রি গিটহাব রেপো যা আপনাকে প্রচুর টাকা আয় করতে সাহায্য করবে প্রতিটি রিপোর সম্পূর্ণ ব্যবসায়িক পরিকল্পনা (প্রম্পট, আউটরিচ স্ক্রিপ্ট এবং প্রতিটি অফারের জন্য ধাপে ধাপে বিস্তারিত বিবরণ সহ) এখানে বিনামূল্যে পান: skool.com ৯০ দিনের মধ্যে আপনার প্রথম (বা পরবর্তী) এআই পরিষেবা ক্লায়েন্ট পেতে অথবা আপনার ১০০% টাকা ফেরত পেতে এআই অপারেটর একাডেমিতে যোগ দিন: skool.com এই পর্বে উল্লেখিত লিঙ্কসমূহ: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx ইনভয়েস নিনজা: invoiceninja/invoiceninja ডাব: dubinc/dub.link টাইমস্ট্যাম্প: ০০:০০ ভূমিকা ০০:২৪ ভয়েস স্টুডিও ০৩:১৬ সিকিউরিটি অডিট স্কিল ০৬:০৮ অ্যানথ্রোপিক প্লাগইনস ০৯:৫০ এজেন্ট রিচ ১২:২৯ মেটাবেস ১৪:৫৫ পেপারলেস এনজিএক্স ১৭:২৭ ইনভয়েস নিনজা ১৯:৫৫ ডাব ২২:৩৮ উপসংহার সোশ্যাল মিডিয়ায় আমাকে খুঁজুন: এক্স/টুইটার: x.com ইনস্টাগ্রাম: instagram.com লিঙ্কডইন: linkedin.com ইউটিউব: youtube.com coreyganim.com [de-DE] 8 kostenlose GitHub-Repos, mit denen du finanziell unabhängig wirst Den vollständigen Businessplan für jedes Repository (inklusive Anregungen, Outreach-Skripten und detaillierten Schritt-für-Schritt-Anleitungen für jedes Angebot) erhalten Sie hier KOSTENLOS: skool.com Werden Sie Mitglied der AI Operator Academy und gewinnen Sie Ihren ersten (oder nächsten) KI-Servicekunden innerhalb von 90 Tagen – oder Sie erhalten 100 % Ihres Geldes zurück: skool.com Links aus dieser Folge: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work Plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Zeitstempel: 00:00 Einleitung 00:24 Voice Studio 03:16 Sicherheitsaudit-Skill 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Fazit Folge mir in den sozialen Medien: Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [es-US] 8 repos de GitHub gratuitos que te harán ganar muchísimo dinero Obtén el plan de negocios completo para cada repositorio (incluyendo sugerencias, guiones de contacto y detalles paso a paso para cada oferta) GRATIS aquí: skool.com Únete a AI Operator Academy para conseguir tu primer (o próximo) cliente de servicios de IA en 90 días o recupera el 100% de tu inversión: skool.com Enlaces mencionados en este episodio: Treg: treg.to Voice Studio: debpalash/VoiceStudio Auditoría de seguridad de Cloudflare: cloudflare/security-audit-skill Plugin Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Marcadores de tiempo: 00:00 Introducción 00:24 Voice Studio 03:16 Habilidad de auditoría de seguridad 06:08 Plugins de Anthropic 09:50 Alcance del agente 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusión ENCUÉNTRAME EN REDES SOCIALES: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [fr-FR] 8 dépôts GitHub gratuits pour gagner énormément d'argent Obtenez gratuitement le plan d'affaires complet pour chaque dépôt (incluant des exemples de messages, des scripts de prise de contact et des descriptions détaillées de chaque offre) ici : skool.com Rejoignez l'AI Operator Academy pour conclure votre premier (ou prochain) contrat de services d'IA sous 90 jours ou soyez intégralement remboursé : skool.com Liens mentionnés dans cet épisode : Treg : treg.to Voice Studio : debpalash/VoiceStudio Cloudflare Security Audit : cloudflare/security-audit-skill Plugin Claude Knowledge Work : anthropics/knowledge-work-plugins Agent Reach : Panniantong/Agent-Reach Metabase : metabase/metabase Paperless-ngx : paperless-ngx/paperless-ngx Invoice Ninja : invoiceninja/invoiceninja Dub : dubinc/dub.link Horodatage : 00:00 Introduction 00:24 Voice Studio 03:16 Security Audit Skill 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusion Retrouvez-moi sur les réseaux sociaux : X/Twitter : x.com Instagram : instagram.com LinkedIn : linkedin.com YouTube : youtube.com coreyganim.com [hi] 8 मुफ्त GitHub रिपॉजिटरी जो आपको मालामाल बना देंगी प्रत्येक रिपॉजिटरी के लिए संपूर्ण व्यवसाय योजना (प्रॉम्प्ट, आउटरीच स्क्रिप्ट और प्रत्येक ऑफ़र के लिए चरण-दर-चरण विवरण सहित) यहाँ मुफ़्त में प्राप्त करें: skool.com 90 दिनों के भीतर अपना पहला (या अगला) एआई सेवा ग्राहक प्राप्त करने के लिए एआई ऑपरेटर अकादमी में शामिल हों या अपना पूरा पैसा वापस पाएं: skool.com इस एपिसोड में उल्लिखित लिंक: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link टाइमस्टैम्प: 00:00 परिचय 00:24 वॉइस स्टूडियो 03:16 सुरक्षा ऑडिट स्किल 06:08 एंथ्रोपिक प्लगइन्स 09:50 एजेंट रीच 12:29 मेटाबेस 14:55 Paperless NGX 17:27 इनवॉइस निंजा 19:55 डब 22:38 निष्कर्ष मुझे सोशल मीडिया पर फॉलो करें: X/ट्विटर: x.com इंस्टाग्राम: instagram.com लिंक्डइन: linkedin.com यूट्यूब: youtube.com coreyganim.com [id] 8 Repo GitHub Gratis yang Bisa Bikin Kamu Kaya Raya Dapatkan rencana bisnis lengkap untuk setiap repositori (termasuk petunjuk, skrip jangkauan, dan detail langkah demi langkah untuk setiap penawaran) GRATIS di sini: skool.com Gabung dengan AI Operator Academy untuk mendapatkan klien layanan AI pertama (atau berikutnya) Anda dalam 90 hari atau dapatkan 100% uang Anda kembali: skool.com Tautan yang disebutkan dalam episode ini: Treg: treg.to Voice Studio: debpalash/VoiceStudio Audit Keamanan Cloudflare: cloudflare/security-audit-skill Plugin Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Cap waktu: 00:00 Pendahuluan 00:24 Studio Suara 03:16 Keterampilan Audit Keamanan 06:08 Plugin Anthropic 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Kesimpulan TEMUKAN SAYA DI MEDIA SOSIAL: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [it] 8 repository GitHub gratuiti per fare un sacco di soldi Ottieni il piano aziendale completo per ogni repository (inclusi prompt, script di contatto e dettagli passo passo per ogni offerta) GRATUITAMENTE qui: skool.com Unisciti all'AI Operator Academy per acquisire il tuo primo (o prossimo) cliente di servizi AI entro 90 giorni o ricevi il 100% di rimborso: skool.com Link menzionati in questo episodio: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Plugin Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: Italiano: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Timestamp: 00:00 Introduzione 00:24 Voice Studio 03:16 Abilità di audit di sicurezza 06:08 Plugin Anthropic 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusione TROVAMI SUI SOCIAL: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [iw] 8 מאגרי GitHub חינמיים שיעשו אותך עשיר בטירוף קבלו את תוכנית העסק המלאה עבור כל מאגר (כולל הנחיות, תסריטי הסברה ופרטים שלב אחר שלב עבור כל הצעה) בחינם כאן: skool.com הצטרפו לאקדמיה למפעילי בינה מלאכותית כדי לסגור את לקוח שירותי הבינה המלאכותית הראשון (או הבא) שלכם תוך 90 יום או לקבל 100% מכספכם בחזרה: skool.com קישורים שהוזכרו בפרק זה: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill תוסף Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx נינג'ת חשבוניות: invoiceninja/invoiceninja דיבוב: dubinc/dub.link חותמות זמן: 00:00 מבוא 00:24 סטודיו קולי 03:16 מיומנות ביקורת אבטחה 06:08 תוספים אנתרופיים 09:50 טווח הגעה לסוכנים 12:29 מטאבייס 14:55 NGX ללא נייר 17:27 נינג'ת חשבוניות 19:55 דיבוב 22:38 סיכום מצאו אותי ברשתות החברתיות: X/טוויטר: x.com אינסטגרם: instagram.com לינקדאין: linkedin.com יוטיוב: youtube.com coreyganim.com [ja] 大金が稼げる無料GitHubリポジトリ8選 各リポジトリのビジネスプラン（プロンプト、アウトリーチスクリプト、各オファーのステップバイステップの詳細を含む）を無料で入手するには、こちらをクリックしてください：skool.com AI Operator Academyに参加して、90日以内に最初の（または次の）AIサービスクライアントを獲得しましょう。もし獲得できなかった場合は、全額返金いたします：skool.com このエピソードで紹介したリンク： Treg：treg.to Voice Studio：debpalash/VoiceStudio Cloudflare Security Audit：cloudflare/security-audit-skill Claude Knowledge Workプラグイン：anthropics/knowledge-work-plugins Agent Reach：Panniantong/Agent-Reach Metabase： metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link タイムスタンプ: 00:00 はじめに 00:24 Voice Studio 03:16 セキュリティ監査スキル 06:08 Anthropicプ​​ラグイン 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 まとめ ソーシャルメディア: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [ko] 떼돈 벌게 해줄 무료 깃허브 저장소 8곳 각 저장소에 대한 전체 비즈니스 플랜(프롬프트, 아웃리치 스크립트, 각 오퍼에 대한 단계별 세부 정보 포함)을 여기에서 무료로 받으세요: skool.com AI Operator Academy에 가입하여 90일 이내에 첫 번째(또는 다음) AI 서비스 고객을 확보하거나 100% 환불받으세요: skool.com 이 에피소드에서 언급된 링크: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work 플러그인: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link 타임스탬프: 00:00 소개 00:24 Voice Studio 03:16 보안 감사 스킬 06:08 Anthropic 플러그인 09:50 에이전트 도달 범위 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 결론 소셜 미디어에서 저를 찾아보세요: X/Twitter: x.com Instagram: instagram.com LinkedIn: 링크드인: linkedin.com 유튜브: youtube.com 웹사이트: coreyganim.com [ml] വൻതോതിൽ പണം സമ്പാദിക്കാൻ സഹായിക്കുന്ന 8 സൗജന്യ ഗിറ്റ്‌ഹബ് റിപോസിറ്ററികൾ ഓരോ റിപ്പോയ്ക്കുമുള്ള പൂർണ്ണ ബിസിനസ് പ്ലാൻ (പ്രോംപ്റ്റുകൾ, ഔട്ട്റീച്ച് സ്ക്രിപ്റ്റുകൾ, ഓരോ ഓഫറിനുമുള്ള ഘട്ടം ഘട്ടമായുള്ള വിശദാംശങ്ങൾ എന്നിവ ഉൾപ്പെടെ) ഇവിടെ സൗജന്യമായി നേടുക: skool.com നിങ്ങളുടെ ആദ്യത്തെ (അല്ലെങ്കിൽ അടുത്ത) AI സേവന ക്ലയന്റിനെ 90 ദിവസത്തിനുള്ളിൽ അടയ്ക്കുന്നതിന് അല്ലെങ്കിൽ നിങ്ങളുടെ പണത്തിന്റെ 100% തിരികെ ലഭിക്കുന്നതിന് AI ഓപ്പറേറ്റർ അക്കാദമിയിൽ ചേരുക: skool.com ഈ എപ്പിസോഡിൽ പരാമർശിച്ചിരിക്കുന്ന ലിങ്കുകൾ: ട്രെഗ്: treg.to വോയ്‌സ് സ്റ്റുഡിയോ: debpalash/VoiceStudio Cloudflare സുരക്ഷാ ഓഡിറ്റ്: cloudflare/security-audit-skill Claude Knowledge Work പ്ലഗിൻ: anthropics/knowledge-work-plugins ഏജന്റ് റീച്ച്: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx ഇൻവോയ്സ് നിൻജ: invoiceninja/invoiceninja ഡബ്: dubinc/dub.link ടൈംസ്റ്റാമ്പുകൾ: 00:00 ആമുഖം 00:24 വോയ്‌സ് സ്റ്റുഡിയോ 03:16 സുരക്ഷാ ഓഡിറ്റ് സ്കിൽ 06:08 ആന്ത്രോപിക് പ്ലഗിനുകൾ 09:50 ഏജന്റ് റീച്ച് 12:29 മെറ്റാബേസ് 14:55 പേപ്പർലെസ് NGX 17:27 ഇൻവോയ്സ് നിൻജ 19:55 ഡബ് 22:38 ഉപസംഹാരം എന്നെ സോഷ്യൽ മീഡിയയിൽ കണ്ടെത്തുക: X/Twitter: x.com Instagram: instagram.com ലിങ്ക്ഡ്ഇൻ: linkedin.com യൂട്യൂബ്: youtube.com coreyganim.com [nl-NL] 8 gratis GitHub-repo's waarmee je schathemeltje rijk wordt Download hier GRATIS het volledige businessplan voor elke repository (inclusief prompts, outreach-scripts en stapsgewijze instructies voor elk aanbod): skool.com Word lid van de AI Operator Academy en sluit binnen 90 dagen je eerste (of volgende) AI-serviceklant af, of krijg 100% van je geld terug: skool.com Links genoemd in deze aflevering: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Tijdstempels: 00:00 Introductie 00:24 Voice Studio 03:16 Beveiligingsauditvaardigheid 06:08 Anthropic Plugins 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusie VIND ME OP SOCIAL MEDIA: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [pa] 8 ਮੁਫਤ GitHub ਰਿਪੋਜ਼ਟਰੀਆਂ ਜਿਨ੍ਹਾਂ ਤੋਂ ਤੁਸੀਂ ਮੋਟੀ ਕਮਾਈ ਕਰ ਸਕਦੇ ਹੋ ਹਰੇਕ ਰੈਪੋ ਲਈ ਪੂਰੀ ਕਾਰੋਬਾਰੀ ਯੋਜਨਾ (ਪ੍ਰੋਂਪਟ, ਆਊਟਰੀਚ ਸਕ੍ਰਿਪਟਾਂ, ਅਤੇ ਹਰੇਕ ਪੇਸ਼ਕਸ਼ ਲਈ ਕਦਮ-ਦਰ-ਕਦਮ ਵੇਰਵੇ ਸਮੇਤ) ਇੱਥੇ ਮੁਫ਼ਤ ਪ੍ਰਾਪਤ ਕਰੋ: skool.com 90 ਦਿਨਾਂ ਦੇ ਅੰਦਰ ਆਪਣੇ ਪਹਿਲੇ (ਜਾਂ ਅਗਲੇ) AI ਸੇਵਾਵਾਂ ਕਲਾਇੰਟ ਨੂੰ ਬੰਦ ਕਰਨ ਲਈ AI ਓਪਰੇਟਰ ਅਕੈਡਮੀ ਵਿੱਚ ਸ਼ਾਮਲ ਹੋਵੋ ਜਾਂ ਆਪਣੇ ਪੈਸੇ ਦਾ 100% ਵਾਪਸ ਪ੍ਰਾਪਤ ਕਰੋ: skool.com ਇਸ ਐਪੀਸੋਡ ਵਿੱਚ ਦੱਸੇ ਗਏ ਲਿੰਕ: Treg: treg.to ਵੌਇਸ ਸਟੂਡੀਓ: debpalash/VoiceStudio Cloudflare ਸੁਰੱਖਿਆ ਆਡਿਟ: cloudflare/security-audit-skill Claude Knowledge Work ਪਲੱਗਇਨ: anthropics/knowledge-work-plugins ਏਜੰਟ ਪਹੁੰਚ: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx ਇਨਵੌਇਸ ਨਿੰਜਾ: invoiceninja/invoiceninja ਡਬ: dubinc/dub.link ਟਾਈਮਸਟੈਂਪ: 00:00 ਜਾਣ-ਪਛਾਣ 00:24 ਵੌਇਸ ਸਟੂਡੀਓ 03:16 ਸੁਰੱਖਿਆ ਆਡਿਟ ਹੁਨਰ 06:08 ਐਂਥ੍ਰੋਪਿਕ ਪਲੱਗਇਨ 09:50 ਏਜੰਟ ਪਹੁੰਚ 12:29 ਮੈਟਾਬੇਸ 14:55 ਪੇਪਰਲੈੱਸ ਐਨਜੀਐਕਸ 17:27 ਇਨਵੌਇਸ ਨਿੰਜਾ 19:55 ਡਬ 22:38 ਸਿੱਟਾ ਮੈਨੂੰ ਸੋਸ਼ਲ 'ਤੇ ਲੱਭੋ: ਐਕਸ/ਟਵਿੱਟਰ: x.com ਇੰਸਟਾਗ੍ਰਾਮ: instagram.com ਲਿੰਕਡਇਨ: linkedin.com ਯੂਟਿਊਬ: youtube.com coreyganim.com [pl] 8 darmowych repozytoriów na GitHubie, dzięki którym zarobisz fortunę Pełny biznesplan dla każdego repozytorium (w tym podpowiedzi, skrypty informacyjne i szczegółowe instrukcje krok po kroku dla każdej oferty) znajdziesz ZA DARMO tutaj: skool.com Dołącz do Akademii Operatorów AI, aby pozyskać pierwszego (lub kolejnego) klienta na usługi AI w ciągu 90 dni lub uzyskać 100% zwrotu pieniędzy: skool.com Linki wspomniane w tym odcinku: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Wtyczka Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Znaczniki czasu: 00:00 Wprowadzenie 00:24 Voice Studio 03:16 Umiejętność audytu bezpieczeństwa 06:08 Wtyczki Anthropic 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dubbing 22:38 Podsumowanie ZNAJDŹ MNIE W MEDIACH SPOŁECZNOŚCIOWYCH: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [pt-BR] 8 repositórios gratuitos do GitHub que te fazem ganhar dinheiro fácil Obtenha o plano de negócios completo para cada repositório (incluindo instruções, roteiros de prospecção e detalhes passo a passo para cada oferta) GRATUITAMENTE aqui: skool.com Participe da AI Operator Academy para fechar seu primeiro (ou próximo) cliente de serviços de IA em até 90 dias ou receba 100% do seu dinheiro de volta: skool.com Links mencionados neste episódio: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Plugin Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Marcadores de tempo: 00:00 Introdução 00:24 Voice Studio 03:16 Habilidade de Auditoria de Segurança 06:08 Plugins Antrópicos 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Conclusão ME ENCONTRE NAS REDES SOCIAIS: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [ru] 8 бесплатных GitHub-репозиториев, которые приносят огромные деньги Получите полный бизнес-план для каждого репозитория (включая подсказки, сценарии взаимодействия и пошаговые инструкции для каждого предложения) БЕСПЛАТНО здесь: skool.com Присоединяйтесь к AI Operator Academy, чтобы заключить свой первый (или следующий) контракт на услуги ИИ в течение 90 дней или получить 100% возврата денег: skool.com Ссылки, упомянутые в этом эпизоде: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Плагин Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Dub: dubinc/dub.link Временные метки: 00:00 Введение 00:24 Voice Studio 03:16 Навык аудита безопасности 06:08 Антропогенные плагины 09:50 Agent Reach 12:29 Metabase 14:55 Paperless NGX 17:27 Invoice Ninja 19:55 Dub 22:38 Заключение НАЙДИТЕ МЕНЯ В СОЦИАЛЬНЫХ СЕТЯХ: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com [ta] கோடிக்கணக்கில் சம்பாதிக்க உதவும் 8 இலவச கிட்ஹப் (GitHub) களஞ்சியங்கள் ஒவ்வொரு ரெப்போவிற்கான முழுமையான வணிகத் திட்டத்தை (தூண்டுதல்கள், அவுட்ரீச் ஸ்கிரிப்டுகள் மற்றும் ஒவ்வொரு சலுகைக்கான படிப்படியான விவரங்கள் உட்பட) இங்கே இலவசமாகப் பெறுங்கள்: skool.com 90 நாட்களுக்குள் உங்கள் முதல் (அல்லது அடுத்த) AI சேவைகள் வாடிக்கையாளரைப் பெற அல்லது உங்கள் பணத்தை 100% திரும்பப் பெற AI ஆபரேட்டர் அகாடமியில் சேருங்கள்: skool.com இந்த அத்தியாயத்தில் குறிப்பிடப்பட்டுள்ள இணைப்புகள்: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Claude Knowledge Work plugin: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Metabase: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx இன்வாய்ஸ் நிஞ்ஜா: invoiceninja/invoiceninja டப்: dubinc/dub.link நேரக்குறிப்புகள்: 00:00 அறிமுகம் 00:24 வாய்ஸ் ஸ்டுடியோ 03:16 பாதுகாப்பு தணிக்கை திறன் 06:08 ஆந்த்ரோபிக் செருகுநிரல்கள் 09:50 ஏஜென்ட் ரீச் 12:29 மெட்டாபேஸ் 14:55 பேப்பர்லெஸ் NGX 17:27 இன்வாய்ஸ் நிஞ்ஜா 19:55 டப் 22:38 முடிவுரை சமூக வலைத்தளங்களில் என்னைக் காணுங்கள்: X/ட்விட்டர்: x.com இன்ஸ்டாகிராம்: instagram.com லிங்க்ட்இன்: linkedin.com யூடியூப்: youtube.com coreyganim.com [te] అపరిమితంగా డబ్బు సంపాదించిపెట్టే 8 ఉచిత గిట్‌హబ్ (GitHub) రిపోలు ప్రతి రెపో కోసం పూర్తి బిజినెస్ ప్లాన్‌ను (ప్రాంప్ట్‌లు, అవుట్‌రీచ్ స్క్రిప్ట్‌లు మరియు ప్రతి ఆఫర్ కోసం దశలవారీ వివరాలతో సహా) ఇక్కడ ఉచితంగా పొందండి: skool.com 90 రోజులలోపు మీ మొదటి (లేదా తదుపరి) AI సేవల క్లయింట్‌ను పొందడానికి లేదా మీ డబ్బులో 100% తిరిగి పొందడానికి AI ఆపరేటర్ అకాడమీలో చేరండి: skool.com ఈ ఎపిసోడ్‌లో ప్రస్తావించిన లింక్‌లు: ట్రెగ్: treg.to వాయిస్ స్టూడియో: debpalash/VoiceStudio క్లౌడ్‌ఫ్లేర్ సెక్యూరిటీ ఆడిట్: cloudflare/security-audit-skill క్లాడ్ నాలెడ్జ్ వర్క్ ప్లగిన్: anthropics/knowledge-work-plugins ఏజెంట్ రీచ్: Panniantong/Agent-Reach మెటాబేస్: metabase/metabase పేపర్‌లెస్-ngx: paperless-ngx/paperless-ngx ఇన్‌వాయిస్ నింజా: invoiceninja/invoiceninja డబ్: dubinc/dub.link టైమ్‌స్టాంప్‌లు: 00:00 పరిచయం 00:24 వాయిస్ స్టూడియో 03:16 సెక్యూరిటీ ఆడిట్ స్కిల్ 06:08 ఆంత్రోపిక్ ప్లగిన్‌లు 09:50 ఏజెంట్ రీచ్ 12:29 మెటాబేస్ 14:55 పేపర్‌లెస్ NGX 17:27 ఇన్‌వాయిస్ నింజా 19:55 డబ్ 22:38 ముగింపు సోషల్ మీడియాలో నన్ను కనుగొనండి: X/ట్విట్టర్: x.com ఇన్‌స్టాగ్రామ్: instagram.com లింక్డ్‌ఇన్: linkedin.com యూట్యూబ్: youtube.com coreyganim.com [uk] 8 безкоштовних репозиторіїв GitHub, які принесуть вам шалені гроші Отримайте повний бізнес-план для кожного репозиторію (включаючи підказки, сценарії інформаційно-просвітницької роботи та покрокову інформацію про кожну пропозицію) БЕЗКОШТОВНО тут: skool.com Приєднуйтесь до Академії операторів штучного інтелекту, щоб закрити свого першого (або наступного) клієнта послуг штучного інтелекту протягом 90 днів або отримати 100% своїх грошей назад: skool.com Посилання, згадані в цьому епізоді: Treg: treg.to Voice Studio: debpalash/VoiceStudio Cloudflare Security Audit: cloudflare/security-audit-skill Плагін Claude Knowledge Work: anthropics/knowledge-work-plugins Agent Reach: Panniantong/Agent-Reach Метабаза: metabase/metabase Paperless-ngx: paperless-ngx/paperless-ngx Invoice Ninja: invoiceninja/invoiceninja Дубляж: dubinc/dub.link Позначки часу: 00:00 Вступ 00:24 Голосова студія 03:16 Навички аудиту безпеки 06:08 Антропні плагіни 09:50 Зв'язок з агентом 12:29 Метабаза 14:55 Безпаперовий NGX 17:27 Invoice Ninja 19:55 Дубляж 22:38 Висновок ЗНАЙДІТЬ МЕНЕ В СОЦІАЛЬНИХ МЕРЕЖАХ: X/Twitter: x.com Instagram: instagram.com LinkedIn: linkedin.com YouTube: youtube.com coreyganim.com

Cloudflareの無料Skillで、AIが書いたコードの脆弱性を公開前にClaude Code／Codexに探させる手順 AI Contents Bank を運営しているしゅーじです。Claude Code や Codex でコードを書く量が増えるほど、「動くけれど、守れているかは分からない」コードが増えていきます。この記事では、Cloudflare が MIT ライセンスで公開しているセキュリティ監査 Skill を Claude Code／Codex に入れて、手元のコードの穴を公開前に探す流れと、出てきた結果をどう読むかを書きます。 手順とプロンプトの完全版は Kit にまとめました。登録なしで全部読めます。 ai-contents-bank.com 先に、前提を 3 つ置いておきます。 使うのは、自分（自社）が管理しているコードだけです。他人のシステムを無断で調べることは、不正アクセス禁止法などに触れ得ます 本番環境や外部サービスには触りません。コードは読むだけで、実行しません。.env などの秘密情報も開きません 監査レポートは公開しないものです。直す前の弱点を外に出す理由はありません なぜ要るか：AI が書いたコードは「動く」までが速い AI にコードを書かせると、動くものが出てくるまでがとにかく速い。一方で、レビューは人の速度のままです。差分を全部読む前に次の機能ができていて、気づくと「動作確認はしたが、読んでいないコード」が積み上がっています。 動作確認で見つかるのは、動かなかったときに気づくバグです。セキュリティの穴は、何も起きないので気づきません。ログインしていない人が見られる画面、本来は自分の分しか見えないはずの一覧、置き場所を間違えた鍵。どれも、画面は正常に動きます。気づくのは、自分以外の誰かが先に見つけたときです。 だから、「読んでいないコード」を読む役を、書いた AI とは別に立てます。人が全部読むのは無理でも、読む専門のエージェントなら回せます。 Skill の仕組み：見つける役と、疑う役を分ける 使うのは Cloudflare の security-audit-skill です。Cloudflare 社内の脆弱性発見ハーネスの元になった Skill で、1 リポジトリ向けの出発点として公開されています。 README に書かれている流れは 6 段階です。言葉を柔らかくして書きます。 偵察：構成、信頼境界、入力の入口を地図にする 探索：地図の単位ごとに、別々のエージェント（ハンター）が弱点の候補を探す 候補の検証：候補を 1 件ずつ、まっさらな検証役に渡して「反証」させる 構造化出力：confirmed（確定）／needs_validation（要確認）／rejected（却下）のいずれかで記録する 独立した再検証：最終的な主張を、また別のエージェントが確かめる 報告：REPORT.md、FINDINGS-DETAIL.md、NEEDS-VALIDATION.md を出す 要点は 3 番と 5 番です。見つけたエージェントは、自分の見つけたものを検証しません。README の設計原則にも「見つけた側と確かめる側は常に別」と書かれています。AI の監査で一番困るのは「それっぽい指摘が大量に出る」ことなので、疑う役を別に立てるこの作りは、実用上かなり効きます。 もう 1 つ、深刻度の付け方です。深刻度が付くのは「確定」だけで、「起こりやすさ × 影響」で決める、チェックリストからの逸脱では決めない、と README にあります。たとえば「A の層で防げているなら、B の層が無いのは脆弱性ではなく、補強のメモ」という扱いです。この線引きがあるので、レポートが「気になる点の羅列」になりにくい。 動かさない、という前提 README の要件には、対象のコードをビルドしたり実行したりするには OS レベルのサンドボックスが必要、と書かれています。それが無い場合、この Skill は実行せずに、その候補を「要確認」のまま残します。 Kit では、サンドボックスを用意させる代わりに「コードは読むだけ、実行しない」を最初から前提にしています。そのぶん「要確認」が多めに出ますが、それは設計どおりです。公開前のコードを、本番にも外にも触れずに読ませる。この安全側の割り切りが、個人や小さなチームで回すときには合っていると考えています。 安全に回す条件 Skill の導入は 1 コマンドです（Skills CLI は Node.js 22.20 以上が必要です）。 npx skills add cloudflare/security-audit-skill --skill security-audit -g -a claude-code -a codex -y -g でユーザー全体に入るので、アプリのフォルダにはファイルが増えません。Claude Code と Codex の両方に入ります。 回すときの条件は、Kit のプロンプトに全部書いてあります。この記事では、何を縛っているかだけ挙げます。 プロファイルは軽いものから：1 回目は quick、エージェントの呼び出しは合計 40 回まで。いきなり深く回さない 読むだけ：コードを実行しない。ビルドもテストもこの段階では走らせない 触らない：本番環境、外部サービス、.env などの秘密情報ファイル 変えない：ソースコードは一切修正しない。直すのは後の Step で、人が見ながら レポートの置き場所：Skill の既定ではリポジトリの外（~/security-audit-skill/<repo-name>/run-<N>）に出ます。リポジトリの中に出すのは、バージョン管理の対象外のフォルダを明示したときだけです 言葉：REPORT.md は、エンジニアでない人が読んでも分かる日本語で書かせる 最後の 1 つは、地味ですが大事です。レポートを読むのが自分 1 人なら英語でも困りませんが、直す優先順位を誰かと相談する場面では、日本語で「何が、どこで、どうまずいか」が書いてある方が速い。 結果の読み方：確定・要確認・却下 1 回目のスキャンが終わったら、レポートを「読む」工程を別に取ります。Kit の Step 3 がこれで、AI に 2 つの表を作らせます。 確定（confirmed）の表：ソースの追跡と、影響の範囲がそろっているもの。深刻度が付いているので、危ない順に並べます。Kit では急ぎ度を「今日」「今週」「今月」「後回しでいい」の 4 段階に分けさせます。「今日」は、たとえば秘密情報が見える場所に置かれているような、放置する理由が無いものです。 要確認（needs_validation）の表：「ここが未確認」という事実が 1 つ残っているもの。深刻度は付きません。表には「何を確かめれば確定か却下かが決まるか」を一緒に書かせます。人が設定画面を見れば済むものもあれば、サンドボックスを用意しないと決着しないものもあります。 却下（rejected）：検証役が反証できたもの。レポートには残しますが、直す対象ではありません。残しておく理由は、次の回で同じ候補を蒸し返さないためです。 ここで 1 つ、期待値の話をしておきます。README には「テストでは、1 回の実行で見つかったのは、繰り返し実行したときの合計のおよそ半分だった」と書かれています。つまり 1 回回しただけでは、半分は残っていると思った方がいい。1 回目は「全部見つける回」ではなく、「今すぐ直すものを見つける回」です。 1 件ずつ直す：ブランチ・テスト・承認 直すのも AI にやらせますが、まとめて渡しません。1 件ずつです。Kit の Step 4 のプロンプトが縛っているのは次の 5 つです。 main から、その 1 件のための修正ブランチを切る 直すのは指定した箇所だけ。「ついでに」を禁じる 再発防止のテストを 1 つ足す。既存のテストは全部通す 変更内容を 3 行で説明させる push の前に止めて、人の承認を待つ 1 件ずつにする理由は、差分が読める量に収まるからです。AI は「直す」と言うと周辺もきれいにしたがり、差分が膨らむと何を直したのか人が追えなくなります。セキュリティの修正でそれをやると、直したつもりで別の穴を作ります。 3 行の説明は、PR の説明文にそのまま使えます。何を直したかを人の言葉で残しておくと、次の回のレポートで「直った」と出たときに照合できます。 回し続ける：月 1 回と、差分 Kit の Step 5 は「続ける」です。やることは 2 つあります。 月 1 回の再監査。最初に、前回の「確定」が直っているかを確かめさせてから、1 段深い standard プロファイル（呼び出し 60 回まで）で回します。出てきた結果を「直った」「残った」「新しく見つかった」の 3 つに分けさせます。README にあるとおり、この Skill は過去の台帳と結果を使って次の回で隙間を狙うので、回数を重ねるほど網が細かくなります。 大きな変更を main に入れる前の差分チェック。差分だけを対象に quick で回します（呼び出し 20 回まで）。新しく増えた危険箇所があれば 3 行以内で、無ければ「なし」と答えさせます。これは月 1 回とは別で、マージ前の習慣にします。 「これで安全になった」とは、どの段階でも言えません。言えるのは「先に見つけて、穴を減らした」までです。それでも、自分以外の誰かに先に見つけられるよりは、ずっといい。 手順の完全版は Kit に Kit は「準備 → 軽いスキャン → 読む → 1 件ずつ直す → 続ける」の 5 ステップです。準備が 10 分、1 回目のスキャンが 30 分から、修正は 1 件 15〜30 分が目安です。 この記事では仕組みと読み方だけを書きました。AI に貼るプロンプトの全文、導入の確認、結果を表にさせる指示、修正ブランチの指示は Kit にあります。登録なしで全部読めます。 ai-contents-bank.com 自分で回すのが難しい場合 コードを自分で触らない、開発は外注している、という場合は、外部の診断サービスに頼む流れを別の Kit にしています。AgenticSec という外部の有料サービス（料金はサービス側で確認してください）に依頼するときの、診断メモ、相談文、テスト環境の依頼、診断依頼書、結果の読み替え、開発者への修正依頼、再診断までを 7 ステップにしました。AI 自身にはスキャンさせず、文書づくりだけをさせる設計です。 ai-contents-bank.com AI Contents Bank は、再現性のある AI ワークフローを Goal・Step・Block の 3 階層で共有するプラットフォームです。この Kit のように、手順をプロンプトやリンクごと置いています。

Bu 5 GitHub Reposu 672.000 Yıldız Topladı (Hepsi Ücretsiz) GitHub repoları arasında yapay zekâyla kullanabileceğin en yararlı 5 açık kaynak proje bu videoda. Beşi birlikte 672.000'den fazla yıldız topladı. Claude Code ile iş başvurusu yapmaktan token tasarrufuna, ücretsiz yapay zekâ modellerine geçişten güvenlik denetimine ve yapay zekâyla tersine mühendisliğe kadar hepsi var. Kaydet, lazım olur. 1 numara: ai-job-search. Claude Code üstünde çalışan bir iş başvuru çatısı. İş ilanını yapıştırıyorsun, ilana özel CV ve ön yazı hazırlıyor. İkinci bir yapay zekâ ajanı CV'ini eleştiriyor, sonra mülakat provası yaptırıyor. Repoyu yazan kişi bu repo sayesinde iş bulduğunu söylüyor. ai-job-search-dev/ai-job-search 2 numara: Headroom. Araç çıktılarını, logları, JSON dosyalarını ve RAG parçalarını yapay zekâya gitmeden sıkıştırıyor. Daha az token harcıyorsun, cevap aynı kalıyor. Claude Code token tasarrufu için birebir. headroomlabs-ai/headroom 3 numara: OmniRoute. Ücretsiz ve açık kaynak bir yapay zekâ yönlendirme aracı. Claude Opus gibi pahalı modeller yerine açık kaynak ve ücretsiz modelleri kullanmanı sağlıyor. 1.400'den fazla model, 150'den fazla ücretsiz sağlayıcı. cheaper-inference/OmniRoute 4 numara: Cloudflare'in güvenlik skill'i. Yapay zekâyla yaptığın uygulama güvenli mi, sızıntı var mı? Kodlama ajanları için çok aşamalı güvenlik denetimi yapıyor, bulguları ayrıca doğruluyor. cloudflare/security-audit-skill 5 numara: REA. Yapay zekâyla tersine mühendislik yapıyor. Bir uygulamanın davranışından yola çıkıp benzerini oluşturabiliyor. Sadece bu ay 384.000 yıldız topladı, GitHub'da ayın 1 numarası. morluto/rea Hepsi açık kaynak. Sen hangisini ilk kuracaksın? Yorumlara yaz, bir arkadaşına da gönder. Yapay zekâ araçları, Claude Code skill ve eklentileri, açık kaynak yapay zekâ projeleri, en popüler GitHub repoları ve vibe coding üzerine yeni videolar için abone ol. #shorts #yapayzeka #claudeai claudecode #ai #chatgpt [en-US] These 5 GitHub Repos Have Over 672,000 Stars (All Free) This video features the 5 most useful open-source projects you can use with AI from GitHub repositories. Together, all five have accumulated over 672,000 stars. From applying for jobs with Claude Code and saving tokens, to transitioning to free AI models, security auditing, and reverse engineering with AI, it's all there. Save it, you might need it. #1: ai-job-search. A job application framework that runs on Claude Code. You paste your job posting, and it prepares a custom CV and cover letter. A second AI agent critiques your CV, then runs a mock interview. The person who wrote the repository says they found a job thanks to this repository. ai-job-search-dev/ai-job-search #2: Headroom. Compresses tool outputs, logs, JSON files, and RAG fragments without going through the AI. You spend fewer tokens, and the result remains the same. Perfect for saving tokens on Claude Code. headroomlabs-ai/headroom Number 3: OmniRoute. A free and open-source AI routing tool. It allows you to use open-source and free models instead of expensive models like Claude Opus. Over 1,400 models, over 150 free providers. cheaper-inference/OmniRoute Number 4: Cloudflare's security skill. Is your AI-powered application secure? Are there any leaks? It performs multi-stage security audits for code agents and also verifies the findings. cloudflare/security-audit-skill Number 5: REA. It reverse engineers AI. It can create a similar application based on its behavior. It collected 384,000 stars this month alone, and is the #1 of the month on GitHub. morluto/rea They are all open source. Which one will you install first? Write a comment and send it to a friend. Subscribe for new videos on AI tools, Claude Code skills and plugins, open-source AI projects, the most popular GitHub repositories, and Vibe coding. #shorts #AI #claudeai #claudecode #ai #chatgpt

security-audit-skill คืออะไร? สกิลฟรีจาก Cloudflare ที่ให้ AI ตรวจช่องโหว่แบบยืนยันซ้ำได้ โดย Nokka (นก-กา) | ตรวจข้อมูล 27 ต.ค. 2026 บทความนี้เขียนโดย AI (deepseek-v4.1-flash · ผู้ให้บริการโมเดล: ollama-cloud) ผ่าน Hermes Agent ภายใต้การควบคุมและตรวจสอบคุณภาพโดยมนุษย์ - Nokka (นก-กา) !ภาพเปิด: ห้องมืด มีลำแสงหลายลำส่องลงบนแผ่นโปร่งใสซ้อนกัน และมีรอยแตกเส้นบาง ๆ กลางแผ่น วันที่ 18 มิถุนายน 2026 Cloudflare เปิดรีโปชื่อ security-audit-skill ให้ดาวน์โหลดฟรี [1] ผ่านมาเพียงสี่เดือน รีโปนี้มีดาวกว่า 48,600 ดวง และมีคน fork ไปกว่า 3,000 ครั้ง [1] สิ่งที่น่าสนใจไม่ใช่ตัวเลข แต่เป็นวิธีคิดข้างใน มันไม่ได้สอน AI ว่า "หาช่องโหว่ให้เจอ" แต่สอนว่า "อย่าเพิ่งเชื่อสิ่งที่ตัวเองเจอ" security-audit-skill คืออะไร สกิลสำหรับ coding agent รีโปนี้อธิบายตัวเองว่าเป็นสกิลที่เปลี่ยน coding agent ให้กลายเป็นผู้ตรวจความปลอดภัย [2] มันทำงานร่วมกับ agent ที่รองรับ tool use และการแยก sub-agent ออกมาทำงานขนานกัน [2] พูดง่าย ๆ คือคุณไม่ต้องเขียนสคริปต์สแกนเอง แต่สั่ง agent ว่าตรวจโค้ดชุดนี้ แล้วมันจะเดินกระบวนการทั้งหกขั้นให้ ต้นกำเนิดจากงานจริงของ Cloudflare รีโปนี้ไม่ได้เกิดจากเดโม แต่เป็นสกิลต้นแบบของระบบตรวจช่องโหว่ที่ Cloudflare ใช้จริง [2][3] ทีมงานเล่าไว้ในบล็อกว่ากระบวนการนี้พัฒนาต่อเป็นระบบสแกนที่ครอบคลุมรีโปทั้งฟลีต ซึ่งตอนเขียนบล็อกระบุไว้ 128 รีโป [3] นี่คือเหตุผลที่มันมีโครงสร้างซับซ้อนกว่ารีโปสกิลทั่วไป ซึ่งมักเป็นแค่ไฟล์คำสั่งไม่กี่ไฟล์ สัญญาอนุญาต MIT โค้ดทั้งหมดใช้สัญญา MIT ซึ่งหมายความว่านำไปใช้ ดัดแปลง และใช้เชิงพาณิชย์ได้ [4] แต่ข้อควรระวังคือตัวสกิลเป็นแค่คำสั่งและเครื่องมือตรวจสอบ ไม่ใช่บริการสแกนฟรีที่ Cloudflare รับผิดชอบแทนคุณ หกเฟสที่มันบังคับให้ agent เดินตาม เฟส 1 สำรวจและทำแผนที่ agent ต้องเขียนไฟล์ architecture.md และ coverage-ledger.json เพื่อระบุขอบเขตความเชื่อถือ จุดที่รับข้อมูลจากภายนอก และพื้นที่ที่ต้องตรวจ [2] หัวใจคือ coverage ledger ซึ่งทำหน้าที่เป็นบัญชีว่าตรวจอะไรแล้วและยังเหลืออะไร เฟส 2 ล่าช่องโหว่ตามบัญชี แทนที่จะปล่อยให้ agent เดาสุ่ม มันจะแบ่งงานให้ hunter แต่ละตัวรับผิดชอบหน่วยใน ledger [2] จากนั้นมี coverage critic คอยหาว่ามีจุดไหนที่ยังไม่มีใครตรวจ เฟส 3 ตรวจสอบข้อสงสัย ผู้ที่ตรวจสอบข้อสงสัยต้องเป็น agent ใหม่ ไม่ใช่ตัวที่พบมัน [2] นี่คือกฎที่ผมคิดว่าสำคัญที่สุดของทั้งรีโป เพราะ AI มักมั่นใจในคำตอบผิดของตัวเอง เฟส 4 เขียนผลลัพธ์แบบมีโครงสร้าง ผลลัพธ์ถูกแบ่งเป็นสามสถานะ คือ confirmed, needs_validation และ rejected แล้วเขียนลง findings.json [2] ไฟล์นี้ต้องผ่าน validate-findings.cjs ซึ่งเป็นเครื่องตรวจที่เขียนด้วย JavaScript แบบไม่พึ่งไลบรารีภายนอก [2] เฟส 5 ตรวจซ้ำโดยคนละตัว agent ชุดใหม่ตรวจข้อความที่อ้างว่าเป็นช่องโหว่จริงอีกครั้ง โดยดูจากซอร์สโค้ดโดยตรง [2] ถ้ามีการแทนที่ข้อสรุปเดิม ข้อสรุปใหม่ต้องผ่านผู้ตรวจอิสระอีกคน เฟส 6 ทำรายงานแยกตามเป้าหมาย รายงานสุดท้ายแยกเป็น REPORT.md, FINDINGS-DETAIL.md และ NEEDS-VALIDATION.md [2] การแยกไฟล์แบบนี้ทำให้ทีมอ่านได้ว่าอะไรคือของจริง อะไรคือของที่ยังต้องพิสูจน์ และอะไรถูกหักล้างแล้ว สามสถานะที่ทำให้มันต่างจากเครื่องมือสแกนทั่วไป confirmed ต้องมีหลักฐานครบ สถานะนี้ให้เฉพาะเมื่อมีเส้นทางอ้างอิงถึงซอร์สโค้ดครบ และมีผลลัพธ์ที่สังเกตได้จริงภายใต้ขอบเขตจำกัด [2] การบอกว่า "โค้ดนี้ดูน่าสงสัย" ไม่พอสำหรับสถานะนี้ needs_validation คือความซื่อสัตย์ สถานะนี้ใช้เมื่อมีข้อเท็จจริงที่ยังพิสูจน์ไม่ได้ และห้ามใส่ระดับความรุนแรงลงไป [2] ในมุมมองของผม เครื่องมือสแกนจำนวนมากชอบเดาความรุนแรงเพื่อให้รายงานดูน่ากลัว ซึ่งทำให้ทีมเสียเวลาไล่ของปลอม rejected คือการกล้าบอกว่าตัวเองคิดผิด สถานะนี้เก็บข้อสงสัยที่ถูกหักล้างแล้วไว้ด้วย เพื่อไม่ให้รอบหน้าต้องมาตรวจซ้ำ [2] ผมเห็นว่าเครื่องมืออัตโนมัติส่วนใหญ่ไม่เก็บร่องรอยการคิดผิดแบบนี้ หลักคิดที่อยู่เบื้องหลัง ช่องโหว่ต้องมีผลกระทบจริง รีโประบุชัดว่า severity ต้องมาจากโอกาสเกิดคูณผลกระทบ ไม่ใช่มาจากการเบี่ยงเบนไปจากเช็กลิสต์ [2] พูดอีกแบบคือ ถ้าไม่มีใครทำอะไรได้จริง มันยังไม่ใช่ช่องโหว่ ช่องว่างการป้องกันหลายชั้นไม่ใช่ช่องโหว่ ถ้าชั้นแรกกันการโจมตีได้ การไม่มีชั้นที่สองเป็นเพียงข้อเสนอให้เสริมความแข็งแรง [2] หลักนี้อาจฟังดูเล็กน้อย แต่ช่วยลดรายงานเท็จได้มากในทางปฏิบัติ ต้องรันหลายรอบถึงจะเห็นภาพจริง รีโปยอมรับเองว่าการรันหนึ่งรอบพบช่องโหว่ประมาณครึ่งหนึ่งของทั้งหมดที่พบเมื่อรันซ้ำหลายรอบ [2] ตัวเลขนี้สำคัญเพราะมันบอกว่าผลลัพธ์รอบเดียวไม่ใช่คำตอบสุดท้าย สิ่งที่ต้องเตรียมก่อนใช้ agent ที่รองรับ sub-agent คุณต้องใช้ coding agent ที่มีโมเดลรองรับการใช้เครื่องมือและแยกงานขนานได้ [2] ถ้า agent ทำได้ทีละงานแบบเรียงลำดับ ประโยชน์จะลดลงมาก เพราะทั้งกระบวนการออกแบบมาสำหรับการตรวจหลายเส้นทางพร้อมกัน Node.js สำหรับตัวตรวจไฟล์ รีโปมีตัวตรวจสองตัวที่เขียนด้วย JavaScript และไม่ต้องติดตั้งไลบรารีเพิ่ม [2] คุณต้องมี Node.js ในเครื่องเพื่อรัน validate-findings.cjs และ validate-coverage-ledger.cjs sandbox ที่ควบคุมได้จริง นี่คือข้อกำหนดที่คนมักข้าม รีโประบุว่าต้องมี sandbox ระดับระบบปฏิบัติการสำหรับการ build ทดสอบ และรันโค้ดของเป้าหมาย [2] sandbox ต้องตัดเน็ตเวิร์กภายนอก ใช้สภาพแวดล้อมที่จำกัด จำกัดทรัพยากรที่ใช้ และเขียนไฟล์ได้เฉพาะโฟลเดอร์ที่กำหนด ถ้าไม่มี sandbox ตามข้อกำหนด ผลลัพธ์จะคงสถานะ needs_validation แทนการรันโค้ดเป้าหมาย พร้อมแนบแผนตรวจสอบที่ปลอดภัยให้ [2] ผมคิดว่านี่คือการออกแบบที่ฉลาด เพราะมันยอมรับว่าบางครั้งคำตอบที่ปลอดภัยที่สุดคือ "ยังไม่รู้" วิธีติดตั้งและเรียกใช้ ติดตั้งผ่าน Skills CLI npx skills add https://github.com/cloudflare/security-audit-skill \ --skill security-audit ถ้าต้องการติดตั้งระดับผู้ใช้ให้เติม --global ต่อท้าย [2] เรียกใช้ด้วยประโยคธรรมดา เปิด agent ในโฟลเดอร์โค้ดที่ต้องการตรวจ แล้วพิมพ์ว่า security audit this codebase [2] สกิลจะทำงานเมื่อคำขอตรงกับเงื่อนไข เช่น ขอตรวจช่องโหว่ หรือขอ pen-test โค้ด กำหนดโฟลเดอร์ผลลัพธ์ ถ้าไม่ระบุ ผลลัพธ์จะไปอยู่ที่ ~/security-audit-skill/<ชื่อรีโป>/run-N [2] ข้อควรระวังคืออย่าให้มันเขียนผลลัพธ์ลงในรีโปโดยตรง เว้นแต่โฟลเดอร์นั้นถูก ignore ไว้แล้ว ข้อจำกัดที่ต้องรู้ก่อนฝากความหวัง ไม่ใช่การแทนที่ pentest มนุษย์ สกิลนี้ตรวจช่องโหว่เชิงเทคนิคที่อ้างอิงซอร์สโค้ดได้ แต่มันไม่รู้จักบริบททางธุรกิจ เช่น การอนุมัติที่ไม่ควรมี หรือช่องโหว่ที่เกิดจากกระบวนการทำงานของคน คุณภาพขึ้นกับโมเดลและบริบท ทีม Cloudflare เล่าไว้ในบล็อกว่า ระบบที่ใช้โมเดลเดียวจะมองโค้ดด้วยมุมเดิม จึงควรสลับโมเดลระหว่างการค้นหากับการตรวจสอบ [3] ตัวสกิลนี้ไม่มีกลไกสลับโมเดลในตัว ถ้าจะทำตามแนวคิดนั้น คุณต้องตั้งค่า agent เองระหว่างเฟส ถ้าคุณใช้โมเดลเดียวตลอด ข้อผิดพลาดเชิงตรรกะแบบเดียวกันจะถูกทำซ้ำทั้งกระบวนการ ต้องมีวินัยในการอ่านผล รายงานที่แยกสถานะมาดีแล้วยังต้องมีคนตัดสินว่าอะไรจะแก้ก่อน ถ้าทีมไม่มีคนรับผิดชอบเรื่องความปลอดภัยจริง ไฟล์ findings.json ก็เป็นเพียงเอกสารที่ไม่มีใครเปิด ถ้าคุณทำงานสายเว็บหรือ SaaS ในไทย ใช้ก่อนเปิดตัว การรันสกิลนี้อย่างน้อยหนึ่งรอบก่อนปล่อยระบบขึ้น production เป็นต้นทุนที่ต่ำมากเมื่อเทียบกับความเสียหายจากการรั่วข้อมูล แต่ต้องอ่านผลแบบ needs_validation ให้ครบ เพราะนั่นคือส่วนที่ยังไม่รู้คำตอบ และจำไว้ว่ารอบเดียวพบช่องโหว่ราวครึ่งของทั้งหมด ระวังข้อมูลส่วนบุคคล ถ้าระบบของคุณเก็บข้อมูลลูกค้า การตรวจควรครอบคลุมเรื่องสิทธิ์การเข้าถึงและการเข้ารหัสด้วย ตัวสกิลมีหมวด DATA-ISOLATION-AND-LIFECYCLE สำหรับเรื่องนี้อยู่แล้ว [2] อย่าให้ agent รันโค้ดโดยไม่มีกรอบ การรันโค้ดของเป้าหมายในเครื่องที่ไม่มี sandbox คือความเสี่ยงที่แท้จริง ถ้าคุณทำตามข้อกำหนดไม่ได้ ให้ตรวจจากซอร์สโค้ดเพียงอย่างเดียว แล้วค่อยรันโค้ดเป้าหมายเมื่อมี sandbox ครบ บทสรุป security-audit-skill เป็นตัวอย่างที่ดีของสกิลที่ไม่ได้ขายความเร็ว แต่ขายความน่าเชื่อถือ [2] มันบังคับให้ agent แยกคนหา คนตรวจ และคนสรุปออกจากกัน ซึ่งเป็นวิธีที่ได้ผลที่สุดวิธีหนึ่งในการลดคำตอบผิดที่ดูมั่นใจ ตัวเลข 48,600 ดาวในราวสี่เดือนบอกว่าคนในวงการให้ความสนใจมาก [1] แต่ถ้าคุณไม่มี sandbox ไม่มีคนอ่านผล และไม่มีเวลาเดินหลายรอบ เครื่องมือนี้จะไม่ได้ช่วยอะไรเลย เพราะการตรวจความปลอดภัยไม่ใช่การกดปุ่มเดียวจบ แต่คือการยอมเสียเวลากับข้อสงสัยที่ไม่น่าอภิรมย์ REF [1] Cloudflare (18 มิ.ย. 2026) · cloudflare/security-audit-skill. cloudflare/security-audit-skill [2] Cloudflare (2026) · security-audit README (six phases, requirements, design principles). raw.githubusercontent.com [3] Cloudflare Blog (2026) · Build your own vulnerability harness. blog.cloudflare.com [4] Cloudflare (2026) · LICENSE (MIT). raw.githubusercontent.com

When your coding model refuses your own AppSec work --- title: "When your coding model refuses your own AppSec work" published: true description: "Why general coding models can get in the way of lawful security tasks, and ground rules for using a model from free-pi's opt-in Defense section on systems you own or are authorized to test." tags: security, ai, devtools, productivity canonical_url: freepi.ai cover_image: freepi.ai --- If you do application security, you have probably watched a coding model decline something routine: writing a proof of concept for a bug in your own staging app, or explaining how a flaw in your own handler would be exploited so you can fix it. That leaves the defender with less help than an attacker would have. I work on free-pi, a free terminal coding agent. We are adding an opt-in Defense section to the /model picker for signed-in GitHub users. The first model is Defense Flash: a reasoning model with tool use and a 1M-token context, chosen for lawful security work that general models often refuse. It is billed from normal credits like any other model. We have not published tests of it, so this post is about using it responsibly, not a benchmark. Ground rules Use it for: - systems and code you own, - employer or client systems where you have written permission to test, - in-scope bug bounty targets, following the program's rules, - software you own or may lawfully analyze (free-pi's /reverse-engineer-anything command covers native binaries, JS and Electron apps, APKs, .NET and websites). Do not use it on anyone else's systems. Computer misuse laws apply whichever model you pick, and a bounty program's scope list is a boundary. Habits that help 1. State the context: who owns the system and what you are authorized to do. 2. Aim at find-and-fix: ask for the minimal patch and a regression test. 3. Test in isolation: a local container or disposable staging copy, never production, no real credentials. free-pi has no OS sandbox for normal sessions. 4. Verify claims: reproduce a reported flaw before you file it, and review every generated patch. 5. Keep the scope in the session: for bounty work, paste the program's scope text. Pairing free-pi bundles the audit method and checklists from the security-audit skill, run in a single agent, so validate each finding yourself. /reverse-engineer-anything covers software you may lawfully analyze. The Defense section is where to look when a general model declines the lawful part. More at freepi.ai.