ship-safe v9.7.5

اكتشف الأكواد الخطرة، وثغرات وكلاء الذكاء الاصطناعي، ومشاكل سلسلة التوريد قبل نشرها.

الموقع · التوثيق · الأمان وتدفق البيانات · المعايير · التسعير · المدونة · المساهمة

Ship Safe CLI

Ship Safe هو ماسح أمان ذكي يعمل بالذكاء الاصطناعي لفرق البرمجيات الحديثة. يعمل محليًا داخل مستودعك، ويكتشف المشاكل عبر كود التطبيق، ووكلاء الذكاء الاصطناعي، وإعدادات MCP، والبرومبتات، والاعتماديات، وCI/CD، والأسرار، والإعدادات القريبة من السحابة، ثم يساعدك في مراجعة وتطبيق إصلاحات آمنة.

ابدأ الفحص بأمر واحد:

npx ship-safe

لا حاجة للتسجيل. لا مفتاح API مطلوب للفحص. يعمل دون اتصال بالإنترنت للفحوصات الأساسية. تستخدم أوضاع الفريق الأحمر المدعومة بالذكاء الاصطناعي مزودك المُهيأ عند توفره.

استخدم --no-ai لضمان فحص محلي بالكامل. التصنيف المدعوم بالمزود، والتحليل العميق، وGPT-Red يرسلون سياقًا محدودًا مباشرة إلى المزود الذي اخترته بعد إخفاء بيانات الاعتماد بأفضل جهد ممكن. راجع الأمان وتدفق البيانات للحدود الدقيقة وحدود السياق.

بدء سريع

# REPL تفاعلي: فحص، إصلاح، وطرح أسئلة في جلسة واحدة
npx ship-safe

# تدقيق كامل: أسرار + 29 وكيل + اعتماديات + خطة معالجة
npx ship-safe audit .

# سيناريوهات فريق أحمر لوكلاء الذكاء الاصطناعي للمحتوى القابل للقراءة من قبل الوكلاء
npx ship-safe red-team . --gpt-red

# وكيل إصلاح تفاعلي: تخطيط، فرق، موافقة، تحقق
npx ship-safe agent .
npx ship-safe agent . --severity critical   # النتائج الحرجة فقط
npx ship-safe agent . --branch --pr         # الإصلاح على فرع + فتح PR

# تراجع عن آخر إصلاح
npx ship-safe undo

# وضع CI/CD — يفشل عند أي نتيجة حرجة
npx ship-safe ci . --sarif results.sarif
npx ship-safe ci . --fail-on high          # أكثر صرامة: حرج أو عالي

ما يكتشفه Ship Safe

كيف يعمل

1. فحص محلي - يفحص Ship Safe مستودعك بوكلاء موجهين ويتخطى الفحوصات غير المطبقة.
2. مراجعة النتائج - تتضمن النتائج الخطورة، موقع الملف، الدليل، والمعالجة الموصى بها.
3. إصلاح مع تحكم - يقترح الوكيل خطة وفرقًا، ويطلب الإذن قبل الكتابة، ويتحقق من النتيجة، ويبقي التغييرات قابلة للتراجع.
4. بوابة في CI - استخدم ship-safe ci لفشل البناءات الخطيرة ورفع SARIF إلى فحص كود GitHub.

لماذا يستخدمه المطورون

• مصمم لتطبيقات AI-native: يكتشف المخاطر في الوكلاء، وخوادم MCP، والبرومبتات، وتدفقات RAG، وإعدادات الوكلاء المُدارة، وCI المدعوم بالذكاء الاصطناعي.
• يعمل مع عملاء الذكاء الاصطناعي: اعرض Ship Safe على Codex وClaude Desktop وCursor وWindsurf وعملاء MCP آخرين عبر خادم stdio المحلي.
• تغذية راجعة محلية سريعة: شغّله قبل PR، أو أثناء المراجعة، أو داخل CI دون إرسال الكود إلى ماسح مستضاف.
• الإصلاحات قابلة للمراجعة: كل تغيير مقترح يُعرض كفرق قبل أن يلمس ملفاتك.
• يعمل مع مجموعتك التقنية: JavaScript وTypeScript وPython وملفات الإعدادات وملفات البنية التحتية وGitHub Actions والمزيد.
• نواة مفتوحة المصدر: CLI مرخص بـ MIT مع توثيق وأمثلة ونظام وكلاء متنامٍ.

CLI مجاني، سير عمل جماعي مدفوع

CLI مفتوح المصدر هو أسرع طريقة لفحص أي مستودع محليًا. قم بالترقية عندما تحتاج إلى سير عمل مستضاف حول نفس الماسح:

قارن الخطط في shipsafe.sh/pricing.

Ship Safe Cloud، لوحة التحكم المستضافة لسجل الفحوصات وPR Guardian والفوترة وسير العمل الجماعي، يُطوَّر في مستودع خاص لأنه يحتوي على كود منتج تجاري وسير عمل بنية تحتية مستضافة. يبقى مستودع ship-safe العام مركزًا على CLI المرخص بـ MIT ووكلاء الأمان والقواعد والملفات التجريبية وتكاملات CI والتوثيق. راجع Ship Safe Cloud لحدود المستودع.

وكلاء الأمان

تعمل جميع الوكلاء بالتوازي. يتخطى كل وكيل المشاريع غير ذات الصلة تلقائيًا.

معالجات لاحقة: ScoringEngine · VerifierAgent (حيوية الأسرار) · DeepAnalyzer (تحليل تلوث LLM)

REPL

$ ship-safe

  ███████╗██╗  ██╗██╗██████╗     ███████╗ █████╗ ███████╗███████╗
  ...

  v9.4.1  ·  DeepSeek  ·  ~/my-project

  /scan للعثور على المشاكل  ·  /agent لإصلاحها  ·  /help للمزيد

shipsafe ›

أي شيء لا يبدأ بـ / يُرسل إلى LLM كسؤال حر، مع أحدث نتائج الفحص كسياق.

CI/CD

# .github/workflows/security.yml
name: Security Audit
on: [push, pull_request]
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Security gate
        run: npx ship-safe ci . --sarif results.sarif
      - uses: github/codeql-action/upload-sarif@v3
        if: always()
        with:
          sarif_file: results.sarif

نسخة GitLab CI موجودة في docs/examples/gitlab-security-workflow.yml.

GitHub Action مع نتائج PR مضمّنة

استخدم الإجراء من سير عمل pull_request عندما تريد إرفاق النتائج الحرجة والعالية بالأسطر المتغيرة. أبقِ pull_request_target خارج هذا المسار للمساهمات المفرعة: يرفض Ship Safe هذا المزيج المميز لأن checkout قد يحتوي على كود غير موثوق.

name: Ship Safe
on:
  pull_request:

permissions:
  contents: read
  pull-requests: write
  security-events: write

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: asamassekou10/[email protected]
        with:
          fail-on: high
          inline: true

التعليقات المضمّنة اختيارية وتنشر النتائج الحرجة/العالية فقط. إعادة تشغيل المهمة تحدّث الملخص دون إنشاء تعليقات مضمّنة مكررة.

دعم LLM

يعمل مع أي مزود — يُكتشف تلقائيًا من متغيرات البيئة. استخدم --provider <name> للتجاوز.

Anthropic · OpenAI · Google · DeepSeek · Kimi K3 / Moonshot · Groq · Together · Mistral · xAI · Perplexity · Ollama · LM Studio · أي نقطة نهاية متوافقة مع OpenAI

يستخدم Kimi افتراضيًا kimi-k3 عبر MOONSHOT_API_KEY أو KIMI_API_KEY. استخدم --provider kimi --model kimi-k3 لتشغيلات GPT-Red والتحليل العميق ذات السياق الطويل.

لفريق أحمر طويل السياق خاص بـ Kimi K3:

npx ship-safe red-team . --gpt-red --provider kimi --model kimi-k3 --k3-long-context

يتحقق Ship Safe أيضًا من تنفيذات استدعاء الأدوات المتوافقة مع Kimi K3 / OpenAI للتحميل الديناميكي للأدوات من سياق البرومبت، وقوائم السماح المفقودة للأدوات، واستدعاءات الأدوات القسرية على مدخلات غير موثوقة، ونتائج الأدوات المعاد تشغيلها دون رسالة استدعاء الأداة الأصلية للمساعد.

لا مفتاح API مطلوب للفحص الأساسي. يستخدم تصنيف الذكاء الاصطناعي وred-team --gpt-red مزودك المُهيأ عند توفره، مع تراجع محلي حتمي دون اتصال لفحوصات GPT-Red.

قمع النتائج الإيجابية الخاطئة

password = get_password()  # ship-safe-ignore

يتم الإبلاغ دائمًا عن النتائج الحرجة. لا يمكن لتعليق مضمّن إخفاءها، ويتم تسجيل محاولة قمعها في الفحص. التعليق مخصص لإنسان يستبعد نتيجة إيجابية خاطئة، وأي شيء يمكنه كتابة سطر من كودك المصدري — بما في ذلك وكيل ذكاء اصطناعي — يمكنه كتابة التعليق أيضًا، لذا لا تكرم أعلى الخطورات. يتم احتساب كل قمع، لذا فإن الفحص الذي أسكت النتائج لا يبدو أبدًا كفحص لم يكن به أي نتائج.

# .ship-safeignore
tests/fixtures/
docs/

ما مدى ضجيجه؟

الاستدعاء هو النصف السهل من الماسح. الأداة التي تضع علامة على كل شيء تلتقط كل شيء وهي عديمة الفائدة، لذا نقيس النصف الآخر: ما يقوله Ship Safe عن كود شبه مؤكد أنه سليم.

انخفض من 1031 نتيجة عبر نفس المشاريع الأربعة قبل v9.6.3، تم التحقق منها مقابل NodeGoat وDVWA بحيث يكون الانخفاض ضجيجًا مخفضًا وليس فقدان اكتشاف. النتيجة الحرجة الوحيدة المتبقية هي إيجابية خاطئة ويقول المعيار أيها ولماذا.

المجموعة مثبتة بالتزام، قابلة للتكرار بأمر واحد، الحدود موثقة: benchmarks/false-positives/

كيف يقارن بـ Semgrep وGitleaks وTrivy وCodeQL؟

شغّل Ship Safe بجانبهم، وليس بدلاً منهم. يقوم CodeQL بتحليل تلوث بين الإجراءات لا يحاوله Ship Safe، وGitleaks هو المتخصص في الأسرار، وTrivy لديه قاعدة بيانات CVE حقيقية خلفه.

يغطي Ship Safe سؤالًا أضيق: ما الذي فعله وكيل ترميز ذكاء اصطناعي للتو بمستودعك وCI وإعدادات أدواتك المحلية. إعداد عميل MCP، وتسميم ذاكرة الوكيل، واستيرادات الحزم الهلوسة وAIBOM هي المجالات التي لم نجد فيها قواعد عامة مكافئة في الأربعة الآخرين.

مصفوفة التغطية الكاملة، تم التحقق منها مقابل سجلاتهم العامة، بما في ذلك حيث يتفوقون علينا: docs/comparison.md

إضافة شارة

[![Ship Safe](https://img.shields.io/badge/Ship_Safe-A+-22c55e)](https://shipsafe.sh)

ما التالي

10.0 هو تغطية Hermes Agent. يفحص Ship Safe بالفعل نشرات Hermes، لكن مقابل v0.13.0 بينما Hermes على v0.20.0 — محول ACP، وبوابة TUI، ونهايات طرفية خادم بلا خادم، ومخططات cron وبيانات المكونات الإضافية كلها صدرت في هذه الأثناء دون تغطية.

راجع خارطة الطريق لما هو مخطط وما هو مستبعد عمدًا، ومعلم 10.0 للعمل القابل للادعاء. كل شيء فيه مفتوح للمساهمين.

المساهمة

Ship Safe مفتوح المصدر، وأفضل المساهمات هي تحسينات صغيرة ومركزة تجعل التطوير بمساعدة الذكاء الاصطناعي أكثر أمانًا.

مجالات جيدة للبدء:

• إضافة وكيل أمان مركّز لمخاطر AI أو MCP أو CI أو سحابة أو سلسلة توريد
• إضافة قاعدة أمان دقيقة إلى وكيل موجود
• إضافة ملفات تجريبية ضعيفة واختبارات انحدار
• كتابة أمثلة للفحوصات المحلية وبوابات CI وسير عمل الفريق الأحمر وإعداد MCP/الوكيل

ابدأ هنا:

• قضايا جيدة للمبتدئين
• دليل المساهم
• إضافة وكيل
• إضافة قاعدة أمان
• التعامل مع متغيرات بيئة MCP بأمان
• استخدام Ship Safe مع Codex
• استخدام Ship Safe مع Claude Code
• عملية الإصدار

الرعاة

Ship Safe مرخص بـ MIT ومجاني للأبد.

تاريخ النجوم

انشر بسرعة. انشر بأمان. — shipsafe.sh