vulnhawk

ماسح أمان للكود يعمل بالذكاء الاصطناعي ويكتشف الثغرات التي تفوتها أدوات Semgrep وCodeQL.

البدء السريع • إجراء GitHub • المقارنة • اللغات • الأسئلة الشائعة

المشكلة

أدوات SAST التقليدية تعتمد على مطابقة الأنماط وقواعد AST. إنها بارعة في اكتشاف أنماط الثغرات المعروفة، لكنها لا تستطيع أساساً التفكير في النية.

إذا كان لدى واجهتك (API) 20 نقطة نهاية و 19 منها تتحقق من الترخيص قبل تنفيذ إجراء على أحد الموارد، فإن Semgrep لا يملك طريقة للإبلاغ عن النقطة التي لا تفعل ذلك - لأنه لا يوجد نمط يطابقه. الثغرة هي غياب النمط.

الحل

يقوم VulnHawk بتحليل الكود بالذكاء الاصطناعي، وبالنسبة لكل جزء من الكود يفحصه، يضمّن كوداً ذا صلة من أجزاء أخرى من قاعدة الكود كسياق. تتيح خطوة الإثراء هذه للذكاء الاصطناعي مقارنة كيفية تعامل المكونات المماثلة مع الأمان - واكتشاف المكون الذي لا يفعل ذلك.

البدء السريع

pip install vulnhawk

اختر الخلفية (backend):

# Claude Code CLI - مجاني للمشتركين (موصى به)
vulnhawk scan ./src -b claude-code

# Codex CLI - مجاني للمشتركين في ChatGPT Pro/Plus
vulnhawk scan ./src -b codex

# Claude API
export ANTHROPIC_API_KEY=sk-ant-...
vulnhawk scan ./src

# OpenAI API
vulnhawk scan ./src -b openai -m gpt-4o

# Ollama - مجاني، محلي، خاص بالكامل
vulnhawk scan ./src -b ollama -m llama3.1

لا ملفات تكوين. لا قواعد للكتابة. لا قاعدة بيانات لبنائها.

خلفيتا Claude Code و Codex مجانيتان للمستخدمين ذوي الاشتراكات الحالية. يقوم VulnHawk بتوجيه الأوامر (prompts) عبر CLI المحلي الخاص بك، لذا لا توجد تكاليف إضافية على واجهة API.

VulnHawk مقابل أدوات SAST الأخرى

_{*مجاني مع Claude Code أو Codex CLI أو Ollama. خلفيات API تكلف حوالي 0.50-2.00 دولار لكل مسح.}

ما يكتشفه VulnHawk ولا تستطيع الأدوات الأخرى اكتشافه

توليفة الأدوات الموصى بها

صُمم VulnHawk ليكون طبقة مكملة، وليس بديلاً:

الاستخدام

أوضاع المسح

vulnhawk scan ./src                      # مسح كامل (افتراضي)
vulnhawk scan ./src --mode auth          # تجاوز الترخيص، تحقق مفقود، ثغرات الجلسة
vulnhawk scan ./src --mode injection     # SQLi، حقن أوامر، SSTI، XSS
vulnhawk scan ./src --mode secrets       # مفاتيح ورموز وكلمات مرور مثبتة في الكود
vulnhawk scan ./src --mode config        # وضع التصحيح، CORS متساهل، كعكات غير آمنة
vulnhawk scan ./src --mode crypto        # تجزئة ضعيفة، مفاتيح ثابتة، RNG سيء

صيغ الإخراج

vulnhawk scan ./src -o json -f results.json        # JSON
vulnhawk scan ./src -o sarif -f results.sarif       # SARIF (GitHub Code Scanning)
vulnhawk scan ./src -o markdown -f report.md        # تقرير Markdown

فلتر الخطورة

vulnhawk scan ./src --severity high      # حرجة + عالية فقط
vulnhawk scan ./src --severity info      # كل شيء

إدخال SARIF - الربط مع أدوات أخرى

قم بتغذية إخراج Semgrep أو CodeQL أو أي أداة تنتج SARIF إلى VulnHawk. يستخدم هذه النتائج كسياق إضافي للتحقق منها، توسيعها، وربطها في ثغرات أعمق.

# شغّل Semgrep أولاً، ثم أثرِ باستخدام VulnHawk
semgrep --config auto ./src -o semgrep.sarif --sarif
vulnhawk scan ./src --sarif-input semgrep.sarif

ما يتيحه هذا:

• يتحقق مما إذا كانت نتائج الأدوات الأخرى حقيقية أم إيجابيات كاذبة
• يكتشف ثغرات ذات صلة بالقرب من المواقع المبلّغ عنها
• يبني سلاسل هجوم متعددة الخطوات تربط النتائج عبر الأدوات
• يتحقق مما إذا كانت الإصلاحات المقترحة تعالج السبب الجذري الفعلي

تشغيل تجريبي

vulnhawk info ./src    # معاينة الملفات والمقاطع وتحليل اللغات

إجراء GitHub

يعمل VulnHawk كـ مسح أساسي على الفرع الافتراضي وبشكل تدريجي على كل طلب سحب (Pull Request).

الإعداد الموصى به

name: VulnHawk Security Scan
on:
  push:
    branches: [main, master]
  pull_request:

permissions:
  security-events: write
  contents: read

jobs:
  vulnhawk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: momenbasel/vulnhawk@main
        with:
          target: '.'
          backend: 'claude-code'
          claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          severity: 'medium'
          fail-on-findings: 'true'

يتم رفع النتائج تلقائياً إلى تبويب Security > Code Scanning في GitHub عبر SARIF.

خيارات الخلفية

الربط مع Semgrep في CI

steps:
  - uses: actions/checkout@v4

  - name: Semgrep (فحص سريع للأنماط)
    uses: returntocorp/semgrep-action@v1
    with:
      config: auto
      generateSarif: true

  - name: VulnHawk (تحليل عميق بالذكاء الاصطناعي)
    uses: momenbasel/vulnhawk@main
    with:
      target: '.'
      backend: 'claude-code'
      claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
      sarif-input: 'semgrep.sarif'

اللغات المدعومة

كيف يعمل

قاعدة الكود ──> اكتشاف ──> تقسيم ──> إثراء ──> تحليل ──> تحقق ──> تقرير
                │            │          │           │           │
           يحترم      دوال      كود ذو    LLM مع     إزالة
           .gitignore  فئات     صلة من    استفسارات  تكرار +
           .vulnhawk- مسارات    نفس الدليل أمان     تسجيل ثقة
           ignore     وحدات     + أنماط

خطوة الإثراء هي الفارق الجوهري. لكل قطعة كود، يضمّن VulnHawk ما يلي:

• دوال/مسارات أخرى من نفس الدليل
• أنماط الوسيطة (middleware) للترخيص وحراس (guards) من جميع أنحاء قاعدة الكود

يمنح هذا الذكاء الاصطناعي السياق الذي يحتاجه لتحديد التناقضات.

التكوين

.vulnhawkignore

استبعاد المسارات من المسح (بناء جملة gitignore):

generated/
vendor/
third_party/
*.gen.go

متغيرات البيئة

التكلفة

الأسئلة الشائعة

المساهمة

انظر CONTRIBUTING.md.

git clone https://github.com/momenbasel/vulnhawk.git
cd vulnhawk
uv venv .venv && source .venv/bin/activate
uv pip install -e ".[dev]"
pytest

دعم المشروع

إذا كان VulnHawk مفيداً لك، ففكر في رعاية المشروع لدعم التطوير المستمر.

الخدمات الاحترافية

يُبنى ويُصان VulnHawk بواسطة GreyCore Labs، وهي شركة أمن هجومي مسجلة في الولايات المتحدة. تريد نفس العين على منتجك الخاص؟

• اختبار الاختراق - ويب، API، جوال، سحابة. عرض سعر ثابت خلال 24 ساعة، تقرير نموذجي محرّر عند الطلب.
• فحص مجاني لسطح الهجوم الخارجي - تقرير من صفحة واحدة خلال 48 ساعة، بدون أي التزام.

الترخيص

VulnHawk هو متاح المصدر بموجب ترخيص VulnHawk.

مجاني للجميع - الأفراد والفرق والشركات الناشئة والمؤسسات يمكنهم استخدام VulnHawk دون تكلفة للمسح الأمني الداخلي، بشرط أن يتم تثبيته من قناة توزيع رسمية:

• GitHub Marketplace
• PyPI
• هذا المستودع

لا يجوز لك بيع البرنامج، أو تقديمه كخدمة منافسة، أو إعادة توزيع الفروع كمنتج. الفروع مسموح بها فقط لتقديم طلبات سحب (pull requests) إلى هذا المستودع. انظر LICENSE للشروط الكاملة.