Cloudflare 开源了一个 security audit skill，挺值得研究一下。 我看了下它的 6 阶段审查，整个流程约束很严。 里面有个设计很好：找漏洞和验证漏洞，必须是不同 Agent。 做 Agent Harness 的可以抄不少东西。

Cloudflare 团队把其内部找漏洞的那套方法做成了一个 Skill，叫 security-audit，并开源了。 装进编码 Agent 就能对自己的代码库跑一次正经的安全审计，已斩获 11000+ Star！ 流程分 6 个阶段，先摸清架构和信任边界，再派出多个独立的 Agent 分片去找，每个候选漏洞交给一个新的 Agent 专门去推翻它。 GitHub： 它的规矩是找到的那个 Agent 不能自己验，验证阶段的目标就是证明这条不成立，最后只有三种结论，确认、待核实、已排除。 待核实的会写清卡在哪个具体事实上，不给严重程度。少了一层防护但另一层挡得住的，只算加固建议，不算漏洞。 产出是一份主报告加一份逐条细节，每条确认的都能追溯到源码位置。 Cloudflare 博客说这就是他们内部漏洞发现系统的起点，多跑几次结果会叠加，他们自己测下来单跑一次大概只能找到一半。 用法就一句「security audit this codebase」，在自己有权限审的代码库上跑，把结果当一份第二意见看，我觉得比裸问 Agent 靠谱得多。

Agent 连续工作几个小时，真正难的是中途失败后，还能准确知道自己做到哪了。 阿里高德团队开源的 LongHorizon-Harness，专门解决长时任务中的状态漂移和错误累积。 它把执行过程拆成 Manage–Execute–Audit 循环： Manager 根据已经验证的进度安排下一步；Executor 在全新上下文中操作桌面、浏览器或命令行；Auditor 再独立检查真实环境。 只有审计确认的结果，才会进入长期任务状态。遇到操作失败、上下文刷新或交付不完整时，Agent 可以保留已完成的部分，从缺口继续推进。 它也不绑定具体模型和后端，可以接入 Claude、GPT、Qwen，以及 Claude Code、Codex CLI、OpenClaw 等工具。 在相同的 Qwen 3.7-Plus 与 Claude Code 配置下，GUI 与 CLI 混合任务通过率从 51.8% 提升到 80.7%；OSWorld 完整完成率从 2.8% 提升到 8.3%；Terminal-Bench 成功率从 69.7% 提升到 77.2%，同时减少了 24% 的 token。 我觉得这篇最有意思的地方在于，它把长时能力的重点，从让一个会话持续运行，推进到了让每段进度都可验证、可恢复，也能可靠地交给下一轮。 模型决定单步能力，harness 决定这些步骤最后能不能拼成一个完整交付。 📎 arxiv:

【KAWAII LAB.啟動亞洲5國首次海選】偶像項目「KAWAII LAB.」的海選的名稱為「KAWAII LAB. ASIA GLOBAL AUDITION 2026」。面向南韓、中國、泰國、印度尼西亞、越南的12～22歲女性（只有中國放寬至25歲）招募……