---

ما هو

يفحص Penthera تطبيقك واعتمادياته وأدوات البرمجة بالذكاء الاصطناعي الخاصة بك على جهازك أنت. ويصلح ما يستطيع إصلاحه، بموافقتك. كل نتيجة تأتي من قاعدة يمكنك قراءتها، مع دليلها عند file:line. قد يقترح نموذج؛ لكن القاعدة هي التي تقرر.

وهو أيضًا مشروع بحث وتطوير مفتوح. نقيس كل فحص علنًا وننشر النتائج، سواء كانت جيدة أو سيئة، حتى ترى إلى أي مدى يمكنك الوثوق به.

يكتشف فئات معروفة من المشكلات، لا المشكلات الجديدة. وهو لا يحل محل مختبِر اختراق بشري.

ابدأ في 30 ثانية

تحتاج إلى Node.js 22 أو أحدث. بلا تثبيت، بلا حساب.

هل تبني باستخدام Cursor أو Claude Code أو Codex أو VS Code أو Windsurf أو Gemini CLI أو Zed أو JetBrains أو Kiro، أو أداة بناء تطبيقات مثل Lovable أو Bolt أو Base44 أو Replit أو v0؟ Penthera في أداة البرمجة الخاصة بك يحتوي على الإعداد لكل منها.

في طرفيتك. شغّل هذا في مجلد مشروعك:

npx penthera

يكتشف إعدادك دون اتصال، ويسألك عمّا تريد فحصه، ويمنحك تقييمًا لكل مجال وأهم ثلاثة أمور يجب إصلاحها أولًا. لا يفحص تطبيقك قيد التشغيل إلا بعد أن تؤكد أن التطبيق ملكك. لا يتم إجراء أي commit أو push (بداية موجّهة).

داخل وكيل البرمجة الخاص بك، كـ skill. ثم اسأل "scan my app for security issues":

npx skills add danoszz/penthera

داخل وكيل البرمجة الخاص بك، كخادم MCP. ست أدوات للقراءة فقط لـ Claude Code وCursor وCodex وVS Code وWindsurf. ثبّت الإصدار:

claude mcp add penthera -- npx -y [email protected] mcp

في Claude Code، كإضافة. من موجه Claude Code:

/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera

في Gemini CLI، كإضافة. يشغّل خادم MCP المثبّت في gemini-extension.json، والذي يتبع أحدث إصدار، بما في ذلك إصدارات المرشحين للإصدار:

gemini extensions install https://github.com/danoszz/penthera

عملاء آخرون: docs/commands/mcp.md. مسارات تثبيت المهارات الأخرى: docs/commands/skill.md.

لتشغيله داخل حاوية: docker build -t penthera . && docker run --rm penthera https://your-app.example.

معايير التقييم العامة

نختبر Penthera على مجموعات بيانات عامة بناها آخرون، إلى جانب الأدوات مفتوحة المصدر المجانية التي تؤدي المهمة نفسها، وتُقيَّم بالطريقة نفسها. قُسِّمت كل مجموعة بيانات إلى نصفين قبل أن نطّلع عليها: حسّنّا Penthera على نصف واحد وقيّمناها مرة واحدة على النصف الآخر المغلق. كُتبت قواعد التقييم والترتيب قبل ذلك التشغيل (البروتوكول).

المعيار	النتيجة	Penthera 1.9.0	Penthera 2.0.0	الترتيب بين الأدوات المجانية	أفضل أداة مجانية أخرى
الأسرار المسرّبة (Samsung CredData)	F1	0.18	0.74	الثاني من 10	deepsecrets 0.78
حزم npm الخبيثة (DataDog)	المكتشَف ناقص الإنذارات الكاذبة	0.57	0.71	الأول من 6، متعادل من الأول إلى الثالث ⁴	malcontent 0.63
حزم PyPI الخبيثة (DataDog)	المكتشَف ناقص الإنذارات الكاذبة	0.74	0.82	الأول من 8، متعادل من الأول إلى الثالث ⁴	GuardDog 0.74
أخطاء الحقن في مكتبات JS (SecBench.js)	موجود في الملف الصحيح	0.16	0.70	الأول من 8، متعادل من الأول إلى الرابع ⁴	odgen 0.68

⁴ النطاق المتعادل هو فترة ترتيب: النطاق الذي وقع فيه ترتيب Penthera في 95% من 10,000 إعادة سحب bootstrap لأعداد كل أداة (على SecBench.js، من أخطائها الاختبارية البالغة 64). جاءت Penthera وحدها في المرتبة الأولى في 76% من عمليات إعادة السحب على npm، و82% على PyPI، و60% على SecBench.js. استكشافي: حُسب بعد الترتيب المسجّل.

الأسرار المسرّبة: الثاني وفق F1، النتيجة المسجّلة؛ الأول وفق F0.5، الذي يمنح الإحكام وزنًا أكبر (0.82 مقابل deepsecrets 0.80)؛ الثاني وفق F2، الذي يمنح الاستدعاء وزنًا أكبر (0.68 مقابل deepsecrets 0.77).

بعض الأدوات المصنّفة بالكاد تدخل المنافسة. أدوات مصنّفة أخرى سجّلت أقل من 0.10: 1 من 9 على CredData (trufflehog)؛ 3 من 5 على npm (clamav، yara، ossgadget)؛ 4 من 7 على PyPI (clamav، ossgadget، bandit4mal، aura)؛ 1 من 7 على SecBench.js (njsscan).

لو كانت حزمة واحدة من كل 1,000 خبيثة، فإن نسبة إنذارات البرمجيات الخبيثة الصحيحة لدى Penthera ستكون: npm، نحو 2.7% عند أعلى فترة الإنذارات الكاذبة (لم تُطلق أي إنذار كاذب على تلك العينة)؛ PyPI، نحو 1.6% عند معدل الإنذارات الكاذبة المقاس، و0.9% عند أعلى فترتها. استكشافي، مثل فترات الترتيب.

كل أداة، كل رقم (فترات 95%)

الأسرار المسرّبة (Samsung CredData)