בניתם אפליקציה או מערכת עם AI? לפני שלקוחות אמיתיים נכנסים אליה, כדאי לבדוק אותה. כאן אני מראה איך מתקינים את הסקיל החינמי של Cloudflare, שהופך את סוכן הקוד שלכם לבודק אבטחה, איך מריצים אותו ואיך קוראים את הדוח.
היום כל אחד יכול לבנות אפליקציה, מערכת לקוחות או טופס הזמנות עם AI. הבעיה: AI כותב קוד מהר, אבל הוא לא תמיד חושב כמו האקר. טופס שלא בודק מי שולח אותו, או מפתח סודי שנשאר בקוד, יכולים לעלות ביוקר. Cloudflare (חברת תשתיות אינטרנט ואבטחה גדולה) פרסמה בחינם סקיל בשם security-audit. סקיל זה חבילת הוראות שסוכן הקוד שלכם (למשל Claude Code) טוען, וככה הוא לומד לעשות עבודה מסוימת בשיטה קבועה. הסקיל הזה הופך את הסוכן לבודק אבטחה. מה שמעניין בו הוא השיטה. הוא עובד בשישה שלבים: 1. מיפוי: מבין איך המערכת בנויה ואיפה נכנס אליה מידע מבחוץ. 2. ציד: שולח כמה סוכנים נפרדים לחפש חולשות, כל אחד באזור אחר. 3. אימות: כל ממצא עובר לסוכן חדש שמנסה להפריך אותו. מי שמצא את הבעיה הוא אף פעם לא מי שבודק אותה. 4. רישום מסודר: כל ממצא מסומן כמאושר, כצריך בדיקה נוספת, או כנדחה. 5. בדיקה חוזרת: סוכנים חדשים מוודאים שוב את מה שנכתב. 6. דוח: קבצי סיכום שאפשר לקרוא. לפי Cloudflare, זו נקודת ההתחלה של המערכת שהם עצמם בנו כדי למצוא חולשות. הרישיון הוא MIT, כלומר קוד פתוח ומותר לשימוש גם בעסק.
טרמינל הוא החלון השחור שבו מקלידים פקודות. בווינדוס: פותחים את תיקיית הפרויקט, לוחצים בתוכה קליק ימני ובוחרים Open in Terminal. ככה הפקודות ירוצו על הפרויקט הנכון.
מדביקים את פקודת ההתקנה (היא מופיעה למטה עם כפתור העתקה) ולוחצים Enter. הפקודה משתמשת ב-Skills CLI, כלי ההתקנה של Vercel לסקילים, שתומך ב-Claude Code, Cursor, Codex ועוד. אם הוא שואל לאיזה סוכן להתקין, בוחרים את מה שאתם עובדים איתו.
באותה תיקייה מקלידים claude כדי להפעיל את Claude Code, ומבקשים ממנו בדיקת אבטחה. הסקיל נדלק לבד כשהבקשה מתאימה (בדיקת אבטחה, חיפוש חולשות וכו'). בקשה ישירה לבדוק את כל הקוד מפעילה את מצב הבדיקה המלא.
בבדיקה מלאה, אם לא ביקשתם תיקייה אחרת, התוצאות נשמרות מחוץ לפרויקט, בתיקייה security-audit-skill שבתיקיית המשתמש שלכם, תחת שם הפרויקט ומספר ההרצה. הקובץ הראשי הוא REPORT.md. יש גם FINDINGS-DETAIL.md עם הפירוט, ו-NEEDS-VALIDATION.md עם מה שעוד לא הוכח.
לכל ממצא יש אחד משלושה סימונים. confirmed: הבעיה הוכחה, ויש לה מסלול מלא בקוד. needs_validation: יש חשד, אבל חסרה עובדה מסוימת כדי להוכיח, ולכן אין לו דרגת חומרה. rejected: נבדק והתברר שזו לא בעיה. אם הדוח באנגלית ומבלבל, יש למטה פרומפט שמבקש מ-Claude להסביר אותו בעברית.
מתקנים קודם את מה שמסומן confirmed, אחד אחד, ובודקים שהמערכת עדיין עובדת. אחר כך כדאי להריץ את הבדיקה שוב. ההרצות מצטברות: הסקיל משתמש בתוצאות הקודמות כדי לחפש איפה עוד לא בדק. לפי Cloudflare, בבדיקות שלהם הרצה אחת מצאה בערך חצי מהחולשות שכמה הרצות מצאו יחד.
זו הפקודה מה-README, בשורה אחת. ב-README היא שבורה לשתי שורות עם קו נטוי (\), וזה לא עובד ב-PowerShell של ווינדוס. כדי להתקין לכל הפרויקטים ולא רק לפרויקט הנוכחי, מוסיפים בסוף --global.
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
את הפרומפטים מדביקים בתוך Claude Code, כשהוא פתוח בתיקיית הפרויקט. הסקיל מזהה בקשה לבדיקת אבטחה. אם הבקשה בעברית לא מפעילה אותו, משתמשים בגרסה באנגלית: אלה בדיוק הדוגמאות מה-README.
בדיקה מלאה (עברית)
תעשה בדיקת אבטחה מלאה (security audit) לכל הקוד בפרויקט הזה, עם הסקיל security-audit. אל תשנה שום קובץ בפרויקט. כשתסיים, תגיד לי איפה נשמר הדוח.
הסבר הדוח בעברית פשוטה
תקרא את REPORT.md של הבדיקה האחרונה. לכל ממצא שמסומן confirmed, תסביר לי בעברית פשוטה, כאילו אני בעל עסק שלא מבין בקוד: מה הבעיה, מה יכול לקרות בגללה, כמה זה דחוף, ואיך מתקנים. אל תתקן כלום עדיין.
תיקון ממצא אחד
בוא נתקן רק את הממצא הראשון ברשימה. לפני שאתה משנה משהו, תראה לי אילו קבצים ישתנו ולמה. אחרי התיקון תבדוק שהמערכת עדיין עובדת.
גיבוי באנגלית: בדיקה מלאה
security audit this codebase
גיבוי באנגלית: רק תיקייה אחת
find security vulnerabilities in ./src
גיבוי באנגלית: עם תיקיית פלט
do a security review, output to ~/audits/my-project
טיפ
יש גם בדיקה מהירה שכבר מובנית ב-Claude Code: מקלידים /security-review והוא בודק את השינויים הממתינים בענף (branch) הנוכחי, כלומר מה ששיניתם לעומת הגרסה הראשית של הפרויקט ב-Git, גם אם כבר שמרתם את זה ב-commit. זה עובד רק בפרויקט שמחובר ל-Git עם גרסה ראשית ב-GitHub או בשרת דומה. אני משתמש בה לפני כל עדכון, ובסקיל של Cloudflare לבדיקה יסודית מדי פעם. מי שעובד עם GitHub יכול להוסיף גם את claude-code-security-review של Anthropic, שבודק כל שינוי קוד (Pull Request) באופן אוטומטי.
הריפו של הסקיל: https://github.com/cloudflare/security-audit-skill הפוסט של Cloudflare על המערכת שצמחה ממנו: https://blog.cloudflare.com/build-your-own-vulnerability-harness בדיקת האבטחה של Anthropic ל-GitHub, כולל הסבר על /security-review: https://github.com/anthropics/claude-code-security-review כלי ההתקנה Skills CLI: https://skills.sh ואם יש לכם שאלה, תכתבו לי באינסטגרם @arielauto1.
הסקיל עצמו חינמי, ברישיון MIT. מה שעולה הוא השימוש בסוכן: הבדיקה מריצה הרבה סוכנים, אז היא צורכת מהמנוי של Claude או מהקרדיט שלכם יותר מבקשה רגילה.
כן, אם אתם כבר עובדים עם Claude Code. צריך להעתיק פקודה אחת ולבקש בדיקה. את הדוח אפשר לבקש מ-Claude להסביר בעברית פשוטה. את התיקונים כדאי לעשות לאט, ממצא אחד בכל פעם.
/security-review מובנה ב-Claude Code ובודק רק את השינויים הממתינים בענף הנוכחי, כלומר מה שהשתנה לעומת הגרסה הראשית. זה מהיר. הסקיל של Cloudflare עושה בדיקה עמוקה לכל הפרויקט, בשישה שלבים, עם סוכן נפרד שמאמת כל ממצא. אני משתמש בשניהם.
לפי ה-README, הוא כותב לתוך תיקיית הפרויקט רק אם בחרתם במפורש תיקייה שמוחרגת מ-Git. בברירת מחדל הדוח נשמר מחוץ לפרויקט. התיקונים עצמם קורים רק כשאתם מבקשים אותם.
אני בונה לעסקים אתרים, אוטומציות ובוטים שעושים את העבודה לבד. דבר איתי ונראה מה אפשר לחסוך לך.
