Cloudflare AI Security Audit 的入口與能力，先按 Cloudflare 官方資料核實；即使使用 AI Agent，也只能先把它當作自動化檢查流程的一環，不能假定它取代人工安全審計。本週建議你挑一個已獲授權的網站，先做小範圍對照，記錄兩種流程的完整工時，再決定是否納入例行檢查。
適合管理 Cloudflare 網站、想了解 AI 安全檢查操作的站長與開發者。
也適合需要量化審計投入，或設計人工複核流程的技術負責人。
時效核對：最後更新於 2025 年 3 月；功能名稱與使用邊界依 Cloudflare 官方安全稽核技能庫及相關文件核對。官方資料若有更新，請以技能文件當前版本為準。
先核實 Cloudflare AI Security Audit 的實際定位
先釐清名稱：依本文引用的 Cloudflare 官方資料，可確認的是官方 GitHub 上的 Security Audit Skill，以及相關技能說明；不能因此稱它為 Cloudflare 控制台內建、可直接掃描任何網站的「Cloudflare AI Security Audit」產品。開始前，先閱讀官方技能庫與技能工作流程說明，確認目前的功能入口、輸入資料和執行方式。
這個辨認會直接影響你的操作：技能的檢查範圍取決於它實際讀取的程式碼、設定或資料，不代表它已連線到你的 Cloudflare 網站，也不代表已對線上服務執行完整滲透測試。Cloudflare 的安全概覽文件和AI Security for Apps 產品說明分別介紹安全功能與產品方向；不能把這些相鄰功能當成 Security Audit Skill 已具備的能力。
因此，不要只看名稱或 AI Agent 的回答，就判定網站「已完成安全審計」。你需要先問清楚：檢查的是哪些資產、檢查依據是什麼、是否接觸線上環境，以及有哪些項目根本不在工具的視野內。
用同一把尺比較流程與投入
下表是工作分工的判斷工具，不是 Cloudflare 實測分數，也不是節省時間的承諾。適合自動化的通常是規則清楚、輸入資料可取得、結果能被驗證的重複工作；高風險結論仍要由人負責。
| 檢查工作 | AI Agent 輔助適合度 | 人工仍要處理的部分 |
|---|---|---|
| 按技能文件檢視已提供的程式碼或設定 | 高：前提是輸入範圍明確 | 確認資料完整、版本正確，並檢視規則是否適用 |
| 彙整設定疑點與安全檢查發現 | 中：可協助整理和分類 | 核對原始證據，判斷是否誤報及風險嚴重性 |
| 需要登入、權限或線上互動才能確認的問題 | 低：不能假設技能已獲授權或能執行測試 | 授權審批、測試設計、影響評估及實際驗證 |
| 修復排序與安全結論 | 低：輸出只能作參考 | 結合業務影響、暴露程度和修復成本作最後決定 |
自動化和人工工作不一定是二選一。較安全的做法，是讓 Agent 協助重複檢視和整理，把人力留給證據核對、業務判斷和需要正式授權的測試。OWASP 的Web Security Testing Guide將測試工作放在明確的方法與範圍內；NIST SP 800-115也說明資訊安全測試與評估需要規劃、執行和分析。這些都提醒你：一次自動檢查的輸出，不等於完整測試結論。
設定範圍、權限與授權界線
正式執行前，先把輸入和允許操作寫清楚。不要把生產環境的修改權限、帳戶密碼或 API 憑證直接交給 Agent，除非官方文件明確要求、團隊已完成風險評估，且有相應的存取控制。也不要因為網站使用 Cloudflare，就推定檢查工具會自動取得該網站的設定或權限。
按技能文件確認執行環境和要求，再整理一份範圍紀錄：網站或程式庫識別方式、納入與排除的資產、檢查目標、資料來源、獲授權的操作，以及禁止執行的測試。若官方介面、安裝方法或權限說明已變更，停止沿用舊步驟，改依官方技能文件核對。
若你另以 VPSSpark 的 Mac 環境承載 Agent，應把主機環境與 Cloudflare 的網站授權分開管理；帳戶及使用問題可先查閱VPSSpark 說明中心。這類環境資訊不能證明 Agent 已取得網站檢查權限，授權仍須由網站負責人另行確認。
開始檢查前，可逐項勾選：
- [ ] 確認使用的是 Cloudflare 官方 Security Audit Skill，並記錄文件版本或檢查日期。
- [ ] 寫明目標網站、程式碼或設定資料的範圍，以及明確排除的資產。
- [ ] 取得網站擁有人或負責團隊的書面授權，確認允許讀取與執行的操作。
- [ ] 以最小必要權限提供檢查所需資料；不提供不需要的生產憑證。
- [ ] 確認是否會觸及線上環境，並在執行前評估可能的服務影響。
- [ ] 安排負責人複核證據、判斷誤報，並記錄每項發現的處置狀態。
若要做的是線上網站測試，必須先確認所用技能是否真的支援該類測試，以及是否取得相應授權。技能檢視程式碼或設定，不能代替對即時服務的驗證；反過來，網站端的一次測試也未必涵蓋程式碼、身分權限或業務流程。對需要更完整測試規劃的工作，可參照OWASP 測試指南的範圍與方法。
依序執行並保存可複核證據
操作時不要把「啟動 Agent」當成唯一工作。每一階段都要留下一筆可供人工追查的紀錄，方便之後用同一條件比較人工流程。
- 確認功能入口。 開啟官方技能庫與技能說明，確認使用的確是 Security Audit Skill，而不是把 Cloudflare 的其他安全功能或 AI 相關產品混為一談。
- 限定檢查範圍。 明確列出網站、程式碼、設定資料及排除項目；確認 Agent 能取得的資料和原定範圍一致。
- 啟動 AI Agent 檢查。 按當前技能文件要求執行，不自行推定工具可呼叫 Cloudflare API、掃描線上網站或修改設定。
- 整理發現與證據。 保留 Agent 指出的檔案、設定、規則或其他證據，並標記無法驗證、資料不足和超出範圍的項目。
- 逐項人工驗證。 重現可疑問題，核對相關設定與實際風險；若需要登入、主動測試或涉及生產系統，先確認授權和影響。
- 記錄處置與工時。 為每項發現標記已確認、誤報、待驗證或已修復，並記錄人工複核及溝通所花時間。
官方技能文件亦有 AI 與 LLM 相關檢查說明，使用前可查看AI 與 LLM 檢查指引。但它只適用於文件所描述的檢查內容，不代表網站所有 AI 相關風險都已涵蓋。遇到不清楚的輸出，應保留為待確認項目，而不是直接改成通過。
用同範圍工時計算節省幅度
目前沒有可套用到所有網站的固定節省比例。站點架構、可提供的資料、審計目標、誤報數量和人工驗證深度都會改變總投入。單看 Agent 完成檢查的速度，會漏掉準備、整理、複核和溝通，因此不能拿掃描耗時直接與人工審計總工時相比。
先為同一網站和同一資產範圍設計一致的檢查目標。再分開記錄兩條流程的準備、執行、結果整理、誤報處理、人工複核與修復溝通時間。若人工流程由不同人員完成，也要沿用一致的工時口徑，並註明流程差異。
計算方式是：
節省比例 =（人工流程總工時 − AI Agent 流程總工時）÷ 人工流程總工時
這個比例只代表該次測試的觀察結果。報告同時記錄網站類型、資產範圍、檢查目標、使用的技能文件版本、人工覆核方式，以及未能驗證的項目。若 Agent 流程少花了整理時間，卻增加了誤報核對或範圍補查，相關工時仍要計入。若兩次測試的範圍不同，結果便不能直接比較。
把估時方法用在團隊內部，可參照NIST 資訊安全測試與評估指南的規劃與分析思路，保留測試目標和結果依據。對外溝通時，也要避免把一次對照的數值說成通用效率提升；沒有同範圍紀錄，就只描述測量方法，不報節省百分比。
驗收結果並判斷是否需要人工審計
收到結果後，逐項核對可重現性、證據充分度、範圍完整性與未覆蓋項目。若輸出只列出風險名稱，卻沒有足以定位的證據，就不能直接當作已確認漏洞。若檢查沒有發現問題，也不能反推網站不存在風險；工具看不到的服務行為、權限關係或業務規則，仍可能需要人工確認。
你可以依照實際結果判斷適用方式：
- 若範圍清楚、結果可驗證，且重複檢查確實減少人工整理投入，可把技能納入輔助流程。
- 若誤報多、證據不足、檢查資料不完整，先改善輸入和複核方法，不要擴大自動化範圍。
- 若涉及正式安全結論、敏感資料、授權測試或重大業務風險，安排具備相應能力的人員審查；不要以 Agent 輸出取代責任審核。
常見問題
使用 Security Audit Skill 就等於掃描整個 Cloudflare 網站嗎？
不等於。你要先查明技能實際讀取的輸入與執行方式。若它檢視的是程式碼或設定，結果不能證明線上網站已完成掃描；若要測試即時服務，必須另外確認工具能力、授權與影響範圍。
AI Agent 找出風險後，可以直接安排修復嗎？
先核對證據和影響，再決定修復優先次序。Agent 的分類可能需要結合網站用途、資料敏感度和服務暴露情況判斷。對會改動生產設定或影響使用者的修復，仍應由有權責的人員審批並安排回復方案。
節省比例高，是否代表可以減少人工安全審計？
不一定。節省比例只反映測試範圍和統計口徑下的工時差異，不表示安全覆蓋相同，也不表示高風險項目已由工具完整確認。應同時檢查漏項、誤報和人工複核投入，再判斷自動化能承接哪些重複工作。
如何保存日後可比較的檢查紀錄？
保存檢查日期、範圍、輸入資料、使用的技能文件版本、Agent 發現、人工複核證據、處置狀態及各階段工時。不要只留一份最終摘要；缺少原始證據和統計口徑，之後便難以重現檢查或公平比較流程。
先用同一網站做一輪小範圍對照，再依工時和風險覆蓋結果決定是否常規採用，是較穩妥的下一步。若你目前依賴臨時共用環境或個人裝置，可能遇到環境混用、權限難隔離、工作紀錄分散等問題；租用 Mac 可提供獨立的執行環境，讓你更容易把 Agent 工作和日常主機分開管理，但它不是 Cloudflare 功能的必要條件，也不取代正式安全審計。若你需要短期 Mac 環境測試 Agent 工作流程，可了解 VPSSpark 的 Mac 租用方案；若不需要 Mac、長期持續高負載，或工作必須接觸特定實體介面，則應先比較自有設備或其他合適環境。帳戶使用與支援資訊可參閱VPSSpark 說明中心。
為安全驗證準備穩定的遠端 Mac 環境
透過 VPSSpark 租用遠端 Mac，讓開發與測試工作有獨立的 macOS 環境可用。
可選不同機型與計費週期，按實際測試需求配置記憶體和儲存空間。