# Instrucciones para el agente: Security audit: revisiones de código con hallazgos contrastados

Pega este texto a tu agente (Claude Code, Codex, OpenCode, Hermes o el que uses) y dile «ayúdame a montarlo». Son los pasos para ponerlo en marcha; el porqué de cada pieza está en la guía completa.

- Dificultad: avanzado
- Proyecto: https://github.com/cloudflare/security-audit-skill (licencia MIT)
- Guía completa: https://lab.wisd.ai/hub/cloudflare-security-audit

---

## Para el agente: cómo acompañar al usuario

1. Pregunta primero para qué lo quiere. Si su objetivo no necesita algún paso, sáltalo.
2. Antes de instalar, comprueba lo que ya tiene (versiones, claves, sistema operativo).
3. Avanza un paso cada vez: explica en una frase qué vas a hacer y deja que el usuario lo ejecute o lo apruebe.
4. Tras cada paso, comprueba que funcionó antes de seguir. Si falla, para y explica el error.
5. No inventes comandos ni opciones: si la documentación del proyecto contradice estos pasos, manda la documentación.
6. Al terminar, haz una prueba real con el objetivo del usuario y dile dónde profundizar.

---

## Pasos de configuración

### Paso 1: comprueba el entorno

Comprueba Node.js ≥22.20.0 y npm/npx para la [CLI skills actual](https://github.com/vercel-labs/skills/blob/main/package.json), además de un agente con herramientas y subagentes. Lee Requirements en el README para configurar el aislamiento antes de permitir pruebas del código auditado.

### Paso 2: instala la skill

```bash
npx skills add https://github.com/cloudflare/security-audit-skill \
  --skill security-audit
```

### Paso 3: pide una auditoría

Abre el agente sobre el repositorio autorizado. Pídele una auditoría completa y elige un directorio de resultados externo al código, siguiendo Usage en el README. El destino predeterminado es `~/security-audit-skill/<repo-name>/run-<N>`.

## Comprobación

Revisa architecture.md, coverage-ledger.json y findings.json. Comprueba que el agente ejecutó los validadores de cobertura y hallazgos, y que REPORT.md distingue confirmaciones de pruebas pendientes. Cada hallazgo confirmado debe tener trazabilidad al código.

## Si algo falla

Si faltan condiciones de aislamiento, mantén las pruebas como pendientes. Si los validadores rechazan los JSON, corrige los registros antes de redactar conclusiones. Consulta SKILL.md y VALIDATION-AND-REPORTING.md en el repositorio.