AX
Google 官方开源的 agent 集群编排运行时，用声明式 YAML 把任务丢进带网络围栏的沙箱里跑，用过 Kubernetes 会觉得眼熟；目前还在快速变动期，API 随时可能改
安全审计技能包
Cloudflare 开源的智能体安全审计技能，六个阶段走完一遍、每条结论都要有源码级证据；偏开发者，普通用户用不上
它能做什么
- 按侦察／覆盖式狩猎／候选验证／结构化输出／独立复核／中立报告六阶段编排审计
- 先用覆盖台账逐项分配审计单元并让覆盖审查者找漏项
- 每个候选漏洞交给一个全新的验证智能体尝试推翻
- 输出 confirmed／needs_validation／rejected 三态结构并用 JSON Schema 校验
- 自带零依赖的 findings 与 coverage 校验脚本及其测试
- 把架构、信任边界、输入面先落成 architecture.md 与 coverage-ledger.json
适用场景
- 安全工程师 / 代码审计岗：接手陌生代码库要快速摸清攻击面时，用它跑一遍分阶段审计并直接拿结构化 findings
- 用 Claude Code、Codex 等编码智能体的开发者：上线前想让智能体做一次系统性安全自查，又不想收到一堆假阳性
- 安全团队负责人：要把"审计结论必须可复核"写进流程时，直接拿它的验证规范与报告格式当模板
踩坑提示
- 功能边界：技能本身不含模型、也不做扫描，必须自备支持工具调用与多子智能体的编码智能体，否则无从运行
- 使用限制：README 明确要求一个禁用外部网络、只允许写指定目录的 OS 级沙箱；没有沙箱时它会把关键结论降级为 needs_validation，而不是执行目标代码
- 访问与速度：仓库在 GitHub，国内访问多数时候正常、偶有抽风，建议直接 clone 到本地再跑，别依赖在线浏览
- 长期可用性：由 Cloudflare 官方维护、更新很勤，但它是内部 harness 抽出来的"起点版"，功能不是内部完整系统
替代方案对比
| 替代品 | 比它强在哪 | 比它弱在哪 | 什么情况下选这个替代品 |
|---|---|---|---|
| 通用 code review 提示词 | 零安装随手就用 | 没有覆盖台账与独立验证，容易漏面、假阳性多 | 只想快速过一遍代码时 |
| Semgrep | 规则化静态扫描，可进 CI、结果稳定可复现 | 只覆盖规则能表达的模式，发现不了逻辑类与协议类问题 | 要把扫描固化进流水线时 |
| 人工渗透测试 | 能发现工具看不到的业务逻辑漏洞 | 贵、慢、不可持续跑 | 涉及资金或隐私的高风险系统 |
更在意审计流程的可复核性选安全审计技能包；更在意流水线里的稳定扫描选 Semgrep
资源地址
继续浏览
类似发现
简历通 ResumeForge
本地优先的 AI 简历工作台，不注册不登录、数据只落在本机的一个文件里；除了写简历还管岗位、模拟面试和投递进度；项目很新，作者只有一个人
video-use
把素材丢进文件夹、跟 Claude Code 说几句就剪出成片的开源技能包，自动去口水词、去停顿、调色、烧字幕、生成动画叠加；工具本身 MIT 免费，但要自备编码 Agent 与模型额度
随便逛逛
不知道看什么？让阿卷带你随便逛逛
想要投稿
你也找到了好东西吗？分享给所有人
告诉阿卷
没有找到想要的？告诉阿卷帮你找