Cloudflare ha lanzado una habilidad de agente de codificación que automatiza el proceso de identificación de vulnerabilidades de seguridad dentro de una base de código. Esta herramienta sirve como una extensión modular para agentes de codificación, proporcionando un marco estructurado para auditorías de seguridad de múltiples fases. Evolucionó a partir de la base de los sistemas internos de descubrimiento de vulnerabilidades de Cloudflare, pasando de un punto de partida de un solo repositorio a un sistema a escala de flota para identificar fallos de seguridad.
Esta imagen representa el repositorio de código abierto donde se aloja y gestiona la habilidad del agente de codificación.
La habilidad opera a través de un flujo de trabajo de seis fases diseñado para mantener un rastro de auditoría riguroso. Comienza con una fase de reconocimiento que mapea la arquitectura, los límites de confianza y las superficies de entrada para crear un 'registro de cobertura'. Este registro rastrea qué partes del sistema han sido auditadas. Durante la fase de 'caza con registro de cobertura', el sistema asigna agentes 'cazadores' aislados a unidades específicas del registro. Estos agentes registran sus comprobaciones mientras los 'críticos de cobertura' identifican brechas en la auditoría. Para garantizar la precisión, la habilidad emplea una validación adversaria: cada hallazgo candidato único se pasa a un agente verificador nuevo cuya tarea específica es refutar el hallazgo antes de que pueda ser confirmado.
Para mantener una salida de alta calidad y legible por máquina, la habilidad categoriza los hallazgos en tres veredictos distintos: 'confirmado', 'necesita_validación' y 'rechazado'. Un hallazgo solo se marca como 'confirmado' si tiene un rastro de fuente completo y un resultado observado acotado. Una limitación técnica significativa de este sistema es su dependencia de un sandbox impuesto por el sistema operativo. Debido a que el flujo de trabajo requiere ejecutar el código objetivo para verificar los hallazgos, el agente no puede mover un indicio de 'necesita_validación' a 'confirmado' sin un entorno seguro que desactive la red externa y aplique límites de recursos. Sin estos controles, el sistema por defecto establece un estado de 'necesita_validación' para evitar la ejecución insegura de código potencialmente malicioso durante el proceso de auditoría.