前几天 PHP 又曝出隐藏漏洞，有自己网站的都该重视一下：PHP 本身的洞只能靠升级补丁堵，但自己代码里的洞，完全可以先交给 agent 扫一遍。
Cloudflare 刚把自家挖漏洞用的那套流程开源成了一个 skill，叫 security-audit-skill——他们内部的漏洞挖掘系统，就是从这套流程长出来的。
用法很简单：装好之后，在仓库里说一句 security audit this codebase 就行，剩下的交给 agent 跑。
核心就一句话：发现漏洞的 agent，永远不负责验证自己的发现。发现和验证分开，才不容易自己骗自己。
官方还提醒了一点：跑一次大概只能找到多轮累计的一半发现，所以可以多跑几轮，每次都会接着上次的记录补漏，越跑越全。
正文完