vulnhawk

ماسح أمان للكود يعمل بالذكاء الاصطناعي ويكتشف الثغرات التي تفوتها أدوات Semgrep وCodeQL.

البدء السريع • إجراء GitHub • المقارنة • اللغات • الأسئلة الشائعة

المشكلة

أدوات SAST التقليدية تعتمد على مطابقة الأنماط وقواعد AST. إنها بارعة في اكتشاف أنماط الثغرات المعروفة، لكنها لا تستطيع أساساً التفكير في النية.

إذا كان لدى واجهتك (API) 20 نقطة نهاية و 19 منها تتحقق من الترخيص قبل تنفيذ إجراء على أحد الموارد، فإن Semgrep لا يملك طريقة للإبلاغ عن النقطة التي لا تفعل ذلك - لأنه لا يوجد نمط يطابقه. الثغرة هي غياب النمط.

الحل

يقوم VulnHawk بتحليل الكود بالذكاء الاصطناعي، وبالنسبة لكل جزء من الكود يفحصه، يضمّن كوداً ذا صلة من أجزاء أخرى من قاعدة الكود كسياق. تتيح خطوة الإثراء هذه للذكاء الاصطناعي مقارنة كيفية تعامل المكونات المماثلة مع الأمان - واكتشاف المكون الذي لا يفعل ذلك.

البدء السريع

pip install vulnhawk

اختر الخلفية (backend):

# Claude Code CLI - مجاني للمشتركين (موصى به)
vulnhawk scan ./src -b claude-code

# Codex CLI - مجاني للمشتركين في ChatGPT Pro/Plus
vulnhawk scan ./src -b codex

# Claude API
export ANTHROPIC_API_KEY=sk-ant-...
vulnhawk scan ./src

# OpenAI API
vulnhawk scan ./src -b openai -m gpt-4o

# Ollama - مجاني، محلي، خاص بالكامل
vulnhawk scan ./src -b ollama -m llama3.1

لا ملفات تكوين. لا قواعد للكتابة. لا قاعدة بيانات لبنائها.

خلفيتا Claude Code و Codex مجانيتان للمستخدمين ذوي الاشتراكات الحالية. يقوم VulnHawk بتوجيه الأوامر (prompts) عبر CLI المحلي الخاص بك، لذا لا توجد تكاليف إضافية على واجهة API.

VulnHawk مقابل أدوات SAST الأخرى

_{*مجاني مع Claude Code أو Codex CLI أو Ollama. خلفيات API تكلف حوالي 0.50-2.00 دولار لكل مسح.}

ما يكتشفه VulnHawk ولا تستطيع الأدوات الأخرى اكتشافه

توليفة الأدوات الموصى بها

صُمم VulnHawk ليكون طبقة مكملة، وليس بديلاً:

الاستخدام

أوضاع المسح

vulnhawk scan ./src                      # مسح كامل (افتراضي)
vulnhawk scan ./src --mode auth          # تجاوز الترخيص، تحقق مفقود، ثغرات الجلسة
vulnhawk scan ./src --mode injection     # SQLi، حقن أوامر، SSTI، XSS
vulnhawk scan ./src --mode secrets       # مفاتيح ورموز وكلمات مرور مثبتة في الكود
vulnhawk scan ./src --mode config        # وضع التصحيح، CORS متساهل، كعكات غير آمنة
vulnhawk scan ./src --mode crypto        # تجزئة ضعيفة، مفاتيح ثابتة، RNG سيء

صيغ الإخراج

vulnhawk scan ./src -o json -f results.json        # JSON
vulnhawk scan ./src -o sarif -f results.sarif       # SARIF (GitHub Code Scanning)
vulnhawk scan ./src -o markdown -f report.md        # تقرير Markdown

فلتر الخطورة

vulnhawk scan ./src --severity high      # حرجة + عالية فقط
vulnhawk scan ./src --severity info      # كل شيء

إدخال SARIF - الربط مع أدوات أخرى

قم بتغذية إخراج Semgrep أو CodeQL أو أي أداة تنتج SARIF إلى VulnHawk. يستخدم هذه النتائج كسياق إضافي للتحقق منها، توسيعها، وربطها في ثغرات أعمق.

# شغّل Semgrep أولاً، ثم أثرِ باستخدام VulnHawk
semgrep --config auto ./src -o semgrep.sarif --sarif
vulnhawk scan ./src --sarif-input semgrep.sarif

ما يتيحه هذا:

• يتحقق مما إذا كانت نتائج الأدوات الأخرى حقيقية أم إيجابيات كاذبة
• يكتشف ثغرات ذات صلة بالقرب من المواقع المبلّغ عنها
• يبني سلاسل هجوم متعددة الخطوات تربط النتائج عبر الأدوات
• يتحقق مما إذا كانت الإصلاحات المقترحة تعالج السبب الجذري الفعلي

تشغيل تجريبي

vulnhawk info ./src    # معاينة الملفات والمقاطع وتحليل اللغات

إجراء GitHub

يعمل VulnHawk كـ مسح أساسي على الفرع الافتراضي وبشكل تدريجي على كل طلب سحب (Pull Request).

الإعداد الموصى به

name: VulnHawk Security Scan
on:
  push:
    branches: [main, master]
  pull_request:

permissions:
  security-events: write
  contents: read

jobs:
  vulnhawk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: momenbasel/vulnhawk@main
        with:
          target: '.'
          backend: 'claude-code'
          claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          severity: 'medium'
          fail-on-findings: 'true'

يتم رفع النتائج تلقائياً إلى تبويب Security > Code Scanning في GitHub عبر SARIF.

خيارات الخلفية

backend: 'claude-code'
claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}

backend: 'codex'