클라우드플레어 무료 보안 점검 스킬, 바이브코더는 어떻게 쓸까

2026-10-30 기준

세 줄 요약

클라우드플레어의 무료 보안 점검 스킬은 보안 버그를 잘 찾습니다. 시험 앱 10개의 보안 버그 36개 중 35개를 찾았습니다.
다만 보안 전용이라 결제 심사·처리방침·사업자 정보·처음 쓰는 사람이 막히는 화면 같은 출시 문제는 거의 보지 않습니다. 전체 심은 버그 132개 중 75개(57%)를 찾았습니다.
개발을 조금 안다면 무료 스킬을 먼저 돌려 보세요. 출시 전 전체 점검이 필요하거나 영어 보고서가 어렵다면 삼심 같은 점검을 함께 쓰는 편이 낫습니다.

클라우드플레어 보안 점검 스킬은 무엇인가

클라우드플레어가 회사 안에서 쓰던 코드 보안 점검 방법을 정리해 무료(MIT)로 공개한 것입니다. 클로드 코드 같은 코딩 AI 에 설치한 뒤 "이 코드 보안 점검해 줘"라고 하면, AI 가 정해진 순서(지도 그리기 → 구멍 찾기 → 다시 확인 → 보고서)로 점검합니다.

좋은 점은 "누가, 무엇을 넣어서, 누구의 무엇이 어떻게 되는지"를 대지 못하는 지적은 버리게 한 것입니다. 그래서 지적 수가 적고 헛짚는 비율이 낮습니다.

직접 돌려 본 결과 (2026-10-30)

삼심이 출시 점검을 시험하려고 만든 문제집으로 쟀습니다. 바이브코더가 만들 법한 작은 서비스 10개에 버그 132개(심각 55개)와, 수상해 보이지만 안전한 미끼 코드 30개를 심어 두었습니다. 정답표는 점검하는 AI 에게 보여 주지 않았고, AI 심판 둘이 지적을 정답표와 맞춰 둘 다 같다고 본 것만 인정했습니다.

클라우드플레어 스킬: 132개 중 75개(57%), 심각 55개 중 50개, 보안 36개 중 35개, 앱당 지적 약 11개
삼심(세 AI 교차 점검, 10-25 측정): 132개 중 129개(98%), 심각 55개 모두, 보안 36개 모두, 앱당 지적 약 47개
클로드에게 "꼼꼼히 점검해 줘" 한 줄로 묻기(10-25 측정): 132개 중 123개(93%), 심각 55개 모두
분야별 스킬 결과: 보안 35/36 · 결제 16/18 · 노출 13/15 · 비용 8/14 · 개발 1/15 · 법률 1/13 · 심사 1/11 · 시연 0/10

숫자를 읽을 때 알아 둘 점

스킬은 보안 도구입니다. 법률·심사·시연 버그를 못 찾은 것은 결함이 아니라 원래 범위 밖입니다.
스킬은 격리된 실행 환경에서 직접 돌려 본 것만 "확정"으로 올립니다. 일반 PC 에서는 이 환경이 없어 지적이 모두 "확인 필요"로 남고 심각도도 비어 있었습니다. 무엇부터 고칠지는 직접 판단해야 합니다.
시험은 가장 가벼운 방식(quick)으로 했습니다. 더 깊은 방식은 더 오래 걸리고 더 찾을 수 있습니다.
시험 앱은 클로드가 만들었고, 문제집과 채점은 삼심이 했습니다. 같은 조건으로 다시 재면 숫자가 달라질 수 있습니다.
삼심은 지적이 많은 만큼 정답 밖 지적(진짜 추가 문제와 헛짚음이 섞임)도 많았습니다. 이 점은 스킬이 더 깔끔합니다.

나는 무엇을 쓰면 될까

클로드 코드나 코덱스를 쓰고, 영어 보고서를 읽을 수 있다면 무료 스킬을 먼저 돌려 보세요. 보안 구멍은 대부분 여기서 걸립니다.
스킬이 "확인 필요"로 남긴 지적은 하나씩 내 AI 에게 "이게 실제로 일어나는지 코드로 확인해 줘"라고 다시 물어 보세요.
결제(토스·카카오페이) 심사, 카카오 로그인 검수, 앱스토어 심사, 개인정보처리방침, 사업자 정보 표시는 보안 스킬이 보지 않습니다. 출시 체크리스트로 따로 확인하세요.
개발을 모르거나, 쉬운 한국어 보고서와 AI 에게 붙여 넣을 수정 지시문까지 받고 싶다면 삼심 같은 출시 전 전체 점검을 쓰세요.

스킬을 써 보는 방법

클로드 코드에서 아래 명령으로 설치한 뒤 점검을 부탁합니다. 설치 전 저장소 안내(README)를 먼저 읽어 보세요.

내 AI 에게 그대로 붙여 넣기npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

자주 묻는 질문

무료 스킬이 있는데 돈을 내고 점검할 필요가 있나요?

보안만 궁금하고 개발을 조금 안다면 무료 스킬로 충분할 수 있습니다. 출시를 실제로 막는 것은 보안 말고도 결제 심사, 처리방침, 사업자 정보, 첫 화면에서 막히는 흐름처럼 다양합니다. 이런 것까지 한 번에 보고 싶을 때 전체 점검이 쓸모 있습니다.

스킬 결과가 전부 "확인 필요"로 나오는데 고장인가요?

고장이 아닙니다. 스킬은 격리된 환경에서 실제로 돌려 본 것만 확정하는데, 일반 PC 에는 그 환경이 없어 모든 지적이 확인 필요로 남습니다. 지적 하나하나를 AI 에게 다시 확인시키면 됩니다.

같은 AI 가 만든 코드를 같은 AI 가 점검해도 되나요?

스킬은 코드를 만든 그 코딩 AI 안에서 돌아갑니다. 이번 시험에서도 보안은 잘 찾았지만, 다른 회사의 AI 에게 한 번 더 보이면 놓친 것을 잡을 가능성이 커집니다.

내 코드에 이런 문제가 있는지, AI 세 개가 따로 봐 드려요.

삼심은 Claude·GPT·Gemini 가 서로 모르게 점검하고 지적을 교차 확인해, 개발부터 법률까지 8개 분야의 고칠 순서와 수정 지시문을 드립니다.

점검 맡기기 · 29,900원부터 왜 세 AI 인가요?

참고

cloudflare/security-audit-skill (GitHub)

이 글은 일반적인 정보이며 법률·보안 자문이 아닙니다. 서비스마다 상황이 다르니 고치기 전에 확인하세요.