أداة تحليل ثابتة (CLI) تفحص قواعد البيانات البرمجية بحثًا عن ثغرات حقن التعليمات (prompt-injection)، تسريب البيانات (data-exfiltration)، كسر الحماية (jailbreak)، وثغرات الوكيل/الأداة غير الآمنة. تعمل دون اتصال بالإنترنت بالكامل، وتتكامل مع CI/CD، وتُخرج تقارير إلى وحدة التحكم، JSON، و SARIF.
iulianvostrut/contexthound
أداة تحليل ثابتة تفحص قاعدة التعليمات البرمجية الخاصة بك بحثًا عن ثغرات حقن الأوامر في نماذج اللغة الكبيرة (LLM) والثغرات الأمنية متعددة الوسائط. تعمل دون اتصال بالإنترنت، ولا تتطلب استدعاءات API.
ContextHound متاح عبر سير عمل التطوير والتصفح بالكامل:
| الأداة | ما تفعله | التثبيت |
|---|---|---|
| CLI / حزمة npm | تفحص قاعدة التعليمات البرمجية الخاصة بك بحثًا عن ثغرات حقن الأوامر. تتكامل مع GitHub Actions، وتُخرج SARIF وJSON وHTML والمزيد. | npm install -g context-hound |
| إضافة VS Code | النتائج المضمّنة أثناء كتابة الكود، وإجراءات الكود، وقناة الإخراج، وشريط الحالة. | VS Code Marketplace |
| إضافة المتصفح | شارة فحص فوري على أي واجهة محادثة ذكاء اصطناعي، ولوحة DevTools لحركة مرور LLM API، وماسح منبثق. Chrome وFirefox. | Firefox: تثبيت مجاني · Chrome: في انتظار المراجعة · المصدر |
مع انتشار التطبيقات المدعومة بنماذج اللغة الكبيرة في قواعد التعليمات البرمجية الإنتاجية، برز حقن الأوامر كواحد من أكثر أسطح الهجوم قابلية للاستغلال؛ ومعظم ماسحات الأمان لا تدرك ذلك.
يقدّم ContextHound التحليل الثابت إلى طبقة الأوامر الخاصة بك:
يتكامل مع سير عملك الحالي كأمر CLI، أو سكربت npm، أو خطاف pre-commit، أو GitHub Action. لا يُجري أي استدعاءات شبكية ولديه أربع تبعيات تشغيلية صغيرة.
| 122 قاعدة أمنية | عبر 15 عائلة: الحقن، والتسريب، وكسر الحماية، واستخدام الأدوات غير الآمن، وحقن الأوامر، وتسميم RAG، والترميز والمحتوى المخفي، ومعالجة المخرجات، ومتعدد الوسائط، ومهارات الوكيل، والوكيلي، وMCP، وسلسلة التوريد، واستهلاك الموارد، والاستمرارية |
| تعيين OWASP | كل قاعدة تحمل معرّفات OWASP Top 10 لتطبيقات LLM (2025) والتطبيقات الوكيلية (2026)، معروضة في hound explain و--verbose ووسوم SARIF وجميع التقارير |
| درجة مخاطر رقمية (0-100) | درجة مُعيّرة على مستوى المستودع مع عتبات منخفضة ومتوسطة وعالية وحرجة |
| كشف التخفيف | لغة السلامة الصريحة في أوامرك تقلل درجتك |
| 9 صيغ إخراج | Console وJSON وSARIF وGitHub Annotations وMarkdown وJSONL streaming وHTML تفاعلي وCSV وJUnit XML |
| GitHub Action مضمّن | يُفشل CI عند التغييرات الخطرة، ويرفع SARIF إلى Code Scanning ويمكنه إبقاء تعليق ملخص على طلب السحب |
| الإصلاح التلقائي | hound fix يعاين ويزيل أحرف Unicode المخفية (ENC-002 إلى ENC-005) |
| فحص متعدد اللغات | يكتشف استخدام LLM API في Python وGo وRust وJava وC# وPHP وRuby وSwift وKotlin وVue وBash، وليس فقط TypeScript وJavaScript |
| تصفية القواعد | excludeRules/includeRules مع صيغة glob البادئة (CMD-*)؛ مرشح minConfidence |
| ذاكرة تخزين مؤقت تزايدية | .hound-cache.json يتخطى الملفات غير المتغيرة عند إعادة التشغيل؛ --no-cache للتعطيل |
يحترم .gitignore | الملفات التي يتجاهلها git يتم تخطيها؛ .houndignore يضيف استثناءات بنفس الصيغة |
| نظام الإضافات | تحميل قواعد مخصصة من ملفات .js محلية عبر "plugins": ["./my-rule.js"] في الإعدادات |
| وضع الأساس / الفرق | --baseline results.json يُبلّغ ويفشل فقط عند النتائج الغائبة عن فحص سابق؛ --diff يفحص الملفات المتغيرة فقط |
| وضع المراقبة | --watch يعيد الفحص عند تغيير الملفات ويعرض النتائج التفاضلية |
| فحص متوازٍ | معالجة ملفات متزامنة (--concurrency <n>، الافتراضي 8) |
| دون اتصال بالكامل | لا استدعاءات API ولا قياس عن بُعد |
التثبيت العام يضيف أمر hound إلى PATH الخاص بك:
npm install -g context-hound
التثبيت لكل مشروع مقيّد بمستودع واحد ويعمل عبر npx hound أو سكربت npm:
npm install --save-dev context-hound
بدون تثبيت، يقوم npx بجلب الحزمة وتشغيلها:
npx context-hound scan --dir .
# Scaffold a config file
hound init
# Scan your project
hound scan --dir ./my-ai-project
# Or via npm script (scans current directory)
npm run hound
# Verbose output, shows remediations and confidence levels
hound scan --verbose
# Fail the build on any critical finding
hound scan --fail-on critical
# Export JSON and SARIF reports
hound scan --format console,json,sarif --out results
# GitHub Annotations (for CI step summaries)
hound scan --format github-annotations
# Markdown report with findings tables
hound scan --format markdown --out report
# Stream findings as JSONL (one JSON object per line)
hound scan --format jsonl | jq '.severity'
# List all rules
hound scan --list-rules
# Explain a rule (or a rule family by prefix)
hound explain INJ-001
hound explain PST --format json
# Fast PR gate: scan only files changed vs. origin/main
hound scan --diff
# Interactive HTML report (self-contained, open in browser)
hound scan --format html --out report
# Re-scan on file changes
hound scan --watch
# Parallel scanning (default is 8; tune for your machine)
hound scan --concurrency 16
# Disable incremental cache for a clean run
hound scan --no-cache
# Also scan files that git ignores (skipped by default)
hound scan --no-gitignore
# Preview, then remove, hidden Unicode characters flagged by ENC-002 to ENC-005
hound fix
hound fix --write
# Baseline mode: only report findings new since the last saved scan
hound scan --format json --out baseline # save a baseline
hound scan --baseline baseline.json # compare future scans against it
# Load a custom rule from a local plugin file
hound scan # plugin declared in .contexthoundrc.json "plugins" field
# Only run high-confidence rules
hound scan --config .contexthoundrc.json # set minConfidence: "high"
# Fail if any single file scores >= 40
hound scan --fail-file-threshold 40
# Scan files up to 5 MB (default limit is 1 MiB; 0 = no limit)
hound scan --max-file-size 5242880
أكواد الخروج:
| الكود | المعنى |
|---|---|
0 | نجح: النتيجة أقل من الحد الأدنى ولا يوجد انتهاك لـ failOn |
1 | خطأ غير معالج أو وسائط غير صحيحة |
2 | تم تجاوز الحد: نتيجة المستودع عند الحد الأدنى أو أعلى منه، أو ملف يتجاوز failFileThreshold |
3 | انتهاك --fail-on: اكتشاف عند تلك الخطورة أو أعلى منها |