---

Was es ist

Penthera prüft deine App, ihre Abhängigkeiten und deine KI-Coding-Tools auf deiner eigenen Maschine. Es behebt, was es kann, mit deiner Zustimmung. Jeder Befund stammt aus einer Regel, die du lesen kannst, mit ihrem Beleg unter file:line. Ein Modell darf vorschlagen; eine Regel entscheidet.

Es ist außerdem ein offenes F&E-Projekt. Wir messen jede Prüfung öffentlich und veröffentlichen die Ergebnisse, ob gut oder schlecht, damit du siehst, wie weit du ihm vertrauen kannst.

Es findet bekannte Problemklassen, keine neuartigen. Es ersetzt keinen menschlichen Pentester.

In 30 Sekunden starten

Du brauchst Node.js 22 oder neuer. Keine Installation, kein Konto.

Du baust mit Cursor, Claude Code, Codex, VS Code, Windsurf, Gemini CLI, Zed, JetBrains oder Kiro, oder mit einem App-Builder wie Lovable, Bolt, Base44, Replit oder v0? Penthera in deinem Coding-Tool enthält die Einrichtung für jedes davon.

In deinem Terminal. Führe dies in deinem Projektordner aus:

npx penthera

Es erkennt dein Setup offline, fragt, was geprüft werden soll, und gibt dir eine Bewertung pro Bereich sowie die drei Dinge, die zuerst behoben werden sollten. Es scannt deine laufende App erst, nachdem du bestätigt hast, dass die App dir gehört. Nichts wird committet oder gepusht (geführt er Start).

In deinem Coding-Agent, als Skill. Frage dann „scan my app for security issues“:

npx skills add danoszz/penthera

In deinem Coding-Agenten, als MCP-Server. Sechs schreibgeschützte Tools für Claude Code, Cursor, Codex, VS Code und Windsurf. Version pinnen:

claude mcp add penthera -- npx -y [email protected] mcp

In Claude Code, als Plugin. Aus der Eingabeaufforderung von Claude Code:

/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera

In der Gemini CLI, als Erweiterung. Sie führt den MCP-Server aus, der in gemini-extension.json festgelegt ist und der neuesten Version folgt, einschließlich Release Candidates:

gemini extensions install https://github.com/danoszz/penthera

Weitere Clients: docs/commands/mcp.md. Weitere Skill-Installationswege: docs/commands/skill.md.

Um es in einem Container auszuführen: docker build -t penthera . && docker run --rm penthera https://your-app.example.

Öffentliche Benchmarks

Wir testen Penthera auf öffentlichen Datensätzen, die andere erstellt haben, im Vergleich zu den kostenlosen Open-Source-Tools, die dieselbe Aufgabe erfüllen, und bewerten sie auf dieselbe Weise. Jeder Datensatz wurde vor unserer Einsichtnahme in zwei Hälften geteilt: Wir verbesserten Penthera auf der einen Hälfte und bewerteten es einmal auf der anderen, versiegelten Hälfte. Die Regeln für Bewertung und Ranking wurden vor diesem Lauf schriftlich festgehalten (Protokoll).

Benchmark	Bewertung	Penthera 1.9.0	Penthera 2.0.0	Rang unter kostenlosen Tools	Bestes anderes kostenloses Tool
Offengelegte Secrets (Samsung CredData)	F1	0.18	0.74	2. von 10	deepsecrets 0.78
Schädliche npm-Pakete (DataDog)	erkannt minus Fehlalarme	0.57	0.71	1. von 6, punktgleich 1. bis 3. ⁴	malcontent 0.63
Schädliche PyPI-Pakete (DataDog)	erkannt minus Fehlalarme	0.74	0.82	1. von 8, punktgleich 1. bis 3. ⁴	GuardDog 0.74
Injection-Fehler in JS-Bibliotheken (SecBench.js)	in der richtigen Datei gefunden	0.16	0.70	1. von 8, punktgleich 1. bis 4. ⁴	odgen 0.68

⁴ Ein punktgleicher Bereich ist ein Rangintervall: der Bereich, in den Pentheras Rang in 95 % von 10.000 Bootstrap-Neuziehungen der Zählungen jedes Tools fiel (bei SecBench.js von dessen 64 Testfehlern). Penthera allein belegte den ersten Platz in 76 % der Neuziehungen bei npm, 82 % bei PyPI und 60 % bei SecBench.js. Explorative Auswertung: berechnet nach dem registrierten Ranking.

Offengelegte Secrets: 2. nach F1, der registrierten Bewertung; 1. nach F0.5, das die Präzision stärker gewichtet (0.82 gegenüber deepsecrets 0.80); 2. nach F2, das den Recall stärker gewichtet (0.68 gegenüber deepsecrets 0.77).

Einige der gerankten Tools sind kaum im Wettbewerb. Weitere gerankte Tools mit einer Bewertung unter 0.10: 1 von 9 bei CredData (trufflehog); 3 von 5 bei npm (clamav, yara, ossgadget); 4 von 7 bei PyPI (clamav, ossgadget, bandit4mal, aura); 1 von 7 bei SecBench.js (njsscan).