AI 安全掃描怎麼選：Cloudflare security-audit-skill、Codex Security、Claude Code /security-review

前幾天我們在幫客戶把一個舊專案串上 Cloudflare Pages 時，主管突然問了一句：『我們這次上線前有沒有跑 SAST 掃描？』當下我手邊有 Cloudflare 的 security-audit-skill、Codex Security 和 Claude Code，但我到底該把哪一個裝進我們的 CI/CD 流程？這三個工具雖然都主打安全，但實際套上去之後，定位完全不同。

簡單分類的話：

• Cloudflare security-audit-skill：是一套完整的安全審計流程，重點是把「找漏洞、驗漏洞、產報告」做成標準流水線。
• Codex Security：OpenAI Codex 的安全產品線，分成 plugin 和 cloud，走的是以 repo 為核心的靜態掃描與自動修補。
• Claude Code：沒有獨立的安全產品，但內建了 /security-review，而且能自訂 security-reviewer Agent，非常適合拿來做互動式深挖。

如果你的需求是：

• 需要產生完整的安全審計報告交差 → 選 Cloudflare。
• 要在專案裡掃整個 repo、過濾 findings 並直接在 PR 裡修補 → 選 Codex Security。
• 想在開發時一邊追問上下文、一邊挖漏洞、一邊動手修 → 選 Claude Code。

這三個工具的位置不一樣

它們雖然都能碰安全，但處理的維度很不一樣。

1) Cloudflare security-audit-skill

這個本質上是 安全審計流程的自動化。它不是單純丟給 AI 掃一眼，而是把整套資安顧問的 audit 動作拆成標準步驟：

1. 盤點系統架構與信任邊界（trust boundary）。
2. 平行找漏洞。
3. 用另一批 Agent 去驗證，篩掉假陽性（false positive）。
4. 輸出結構化的 findings 報告。

它的核心價值在於 流程嚴謹、證據完整、輸出格式規範。

2) Codex Security

這個是 以 repository 為導向的安全產品線。OpenAI 把它切成兩塊：

• Codex Security plugin（本地端 IDE 外掛）
• Codex Security cloud（雲端整合）

它最適合的場景是：

• 掃描整個專案或特定資料夾。
• 在 GitHub PR 前做安全審查。
• 管理 backlog 的安全漏洞優先級（triage）。
• 一鍵修補漏洞並自動重新驗證。

3) Claude Code

這個是 互動式的安全分析助手。雖然沒有獨立的安全控制台，但你可以用：

• /security-review 指令。
• 自訂的 security-reviewer Agent。

它強在：

• 對可疑點進行深挖。
• 追問複雜的資料流上下文。
• 一路問到有明確的攻擊路徑（PoC）為止。
• 順手在終端機把程式碼改好。

---

1. Cloudflare security-audit-skill

Cloudflare 這個 skill 的特色非常鮮明：它不是單純的靜態代碼分析，而是一套 六階段的安全審計 pipeline。

它怎麼運作的？

1. Recon (勘測)

先盤點：

• 專案架構
• 信任邊界（trust boundary）
• 所有的資料輸入點與外部 API 進入點

最後輸出 architecture.md。

2. Hunt (漏洞獵捕)

啟動多個平行 Agent 去不同維度找洞，包含：

• SQL Injection / Command Injection
• Access Control (存取控制權限)
• Business Logic (業務邏輯缺陷)
• Cryptography (密碼學與金鑰管理)
• Feature Abuse (功能濫用)
• Chained Attacks (鏈式複合攻擊)

3. Validate (驗證)

找到可疑漏洞後，會派另一批 Agent 進行反駁與驗證。這一步在實務上能有效幫忙過濾掉九成以上的假陽性，避免開發者被雜訊淹沒。

4. Report (產出報告)

自動產生兩份檔案：

• REPORT.md (高階摘要)
• FINDINGS-DETAIL.md (詳細漏洞清單與修補建議)

5. Structured Output (結構化輸出)

把所有 findings 寫入 findings.json，方便後續用 CI/CD 腳本直接解析。

6. Independent Verification (獨立覆核)

最後換一組全新的 Agent，重新去拉 code 來核對 findings 是否屬實，防止原本的 Agent 自己寫錯又自己說對。

怎麼裝？

npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit

這行指令會直接把 Cloudflare 官方的安全審查 skill 載入到你的開發環境。它不只是個 package，而是會新增一整套包含架構分析和漏洞驗證的自動化步驟。

這個工具擅長抓哪些漏洞？

• 系統信任邊界模糊
• API 輸入驗證漏失
• 常見的 OWASP Top 10 注入
• 業務邏輯設計漏洞（例如跳過付費步驟）
• 需要多個漏洞串聯的複合攻擊

這套流程把「尋找」和「驗證」切開，最適合需要交付給合規團隊（Compliance）或外部客戶的正式審查情境。

---

2. Codex Security

Codex 不僅是幫忙寫寫 code，它的 Security 產品線在 OpenAI 體系裡有非常完整的支援。

怎麼啟用？

1. 在 Codex App 裡安裝 Codex Security plugin。
2. 照著 plugin 的 quickstart 在本地跑第一次專案掃描。
3. 如果要串聯雲端流程，直接在 Codex Web 綁定你的 GitHub repo。

適合用在哪？

• 掃描整個專案（Repository scan）
• 對特定目錄做深度掃描（Deep security scan）
• 在發 PR 或切 branch 時做防禦性審查
• 漏洞修復後的自動 regression test
• 匯出可追蹤的安全報告

Codex Security Cloud 的特點

根據官方文件的說明，它會：

• 針對專案特性，自動建立 Threat Model (威脅模型)。
• 結合 Real Code Context 去追蹤變數與資料傳遞路徑。
• 只把高信賴度（high-signal）的問題丟出來，並進行排序。
• 附帶具體的證據鏈（evidence），以及可以直接套用的 patch 建議。

如果你習慣在 GitHub Flow 裡，在發 PR 時自動跑一輪掃描、看到漏洞直接叫 AI patch 掉、再跑測試驗證，那 Codex Security 的工作流會非常順手。

---

3. Claude Code /security-review

Claude Code 雖然沒有像前兩者有獨立的資安產品後台，但它在終端機裡的互動能力非常驚人。

怎麼裝？

npm install -g @anthropic-ai/claude-code
claude auth login

這是 Claude Code 的全域安裝指令與登入步驟。跑完之後，你就能在 terminal 直接開一個互動式視窗，直接對著整個 codebase 下安全審查的指令。

怎麼用？

在互動模式下直接輸入：

/security-review

在 Claude Code 的互動模式下打這行 slash command，它就會開始掃描當前目錄，尋找潛在的安全漏洞與程式碼邏輯缺陷。

自訂 @security-reviewer Agent

你也可以在 .claude/agents/ 下寫一個 Markdown 設定檔，比如 security-reviewer.md，然後在對話中直接叫用它：

@security-reviewer review the auth module

這是叫用自訂 Agent 的寫法，你可以指定特定的安全角色（例如這裡自訂的 @security-reviewer）去針對特定的資料夾或模組做深挖。

適合用在哪？

• 需要跨多個檔案追蹤變數傳遞。
• 分析複雜的 Auth 和權限驗證流程（Permission logic）。
• 對可疑段落進行多輪追問，像在做互動式 code review。

因為 Claude 的長上下文理解能力極強，它在理解「因為 A 檔案改了這個變數，導致 B 檔案在特殊情況下會繞過驗證」這種跨檔案邏輯上，比一般靜態掃描工具聰明很多。

---

直接看比較表：這三者差在哪？

---

不同情境下，該選哪一個？

• 你需要產出一份能拿給資安主管或客戶看的安全報告：

👉 選 Cloudflare security-audit-skill。它的六階段流程產出的 findings.json 和 Markdown 報告最完整，且經過獨立的 validate 步驟。

• 希望在 GitHub CI/CD 流程中，自動掃描並在 PR 階段直接幫你修好 code：

👉 選 Codex Security。它整合了 repo Context，並能提供精準的 patch 建議。

• 在寫 code 的當下懷疑某段 logic 有洞，想一邊挖一邊問：

👉 選 Claude Code。用 /security-review 搭配互動式追問，可以把它當成一個二十四小時在線的資深 Security team。

---

實戰流程推薦：從掃描到修補

在大型專案的防禦策略中，我們通常不會只用單一工具，而是這樣搭配：

1. 架構盤點：用 Cloudflare security-audit-skill 跑一次，看懂整個專案的攻擊面跟 trust boundary。
2. 常態掃描：在 GitHub 串接 Codex Security，讓每次 PR 自動去掃有無新引入的漏洞。
3. 細節深挖：針對 Codex 掃出來的漏洞，在本地用 Claude Code 開啟 /security-review 進行多輪追問，弄懂真正的成因。
4. 一鍵修復：利用 Codex 提供的 patch 建議或叫 Claude 改寫，修改後用 Cloudflare 的驗證機制確保沒有假陽性，最後合併程式碼。

這樣一套組合拳下來，不僅能減少手動排查的雜訊，也能確保每次發布的 code 都符合基本安全要求。