STRIDE GPT Logo

STRIDE GPT ist ein KI-gestütztes Bedrohungsmodellierungswerkzeug, das Large Language Models (LLMs) nutzt, um Bedrohungsmodelle und Angriffsbäume für eine bestimmte Anwendung auf Basis der STRIDE-Methodik zu erstellen. Benutzer geben Anwendungsdetails an, wie den Anwendungstyp, Authentifizierungsmethoden und ob die Anwendung internetzugänglich ist oder sensible Daten verarbeitet. Das Modell generiert dann die Ausgabe basierend auf den bereitgestellten Informationen.

Inhaltsverzeichnis

Unterstützen Sie das Projekt
Funktionen
Unternehmenseinsatz
Vortrag auf dem Open Security Summit
Änderungsprotokoll
Installation
Repository-Struktur
Verwendung
- Interaktive REPL-Spickzettel
Beispielausgabe
Sicherheitsempfehlungen
Mitwirken
Lizenz

Unterstützen Sie das Projekt

Wenn Sie STRIDE GPT nützlich finden, erwägen Sie bitte, das Projekt zu unterstützen:

⭐ Star das Repository auf GitHub, um mehr Menschen bei der Entdeckung des Tools zu helfen
☕ Kaufen Sie mir einen Kaffee, um die fortlaufende Entwicklung und Wartung zu unterstützen

Funktionen

Agentische Codebasisanalyse: Weisen Sie die CLI auf eine Codebasis an, und Sie erhalten ein autonomes, tiefgehendes STRIDE-Bedrohungsmodell – der Agent plant, erkundet und synthetisiert Erkenntnisse über Subsysteme hinweg.
CLI und interaktiver REPL: Voll ausgestattete Terminalerfahrung mit Tab-Vervollständigung, Verlauf und Echtzeit-Fortschritt – kein Browser erforderlich.
Einfache und benutzerfreundliche Streamlit-Weboberfläche
Generiert Bedrohungsmodelle basierend auf der STRIDE-Methodik
Agentische KI-Unterstützung: Spezialisierte Bedrohungsmodellierung für agentische KI-Systeme mit Integration der OWASP Top 10 für agentische Anwendungen (ASI)
Unterstützung für generative KI: Bedrohungsmodellierung für GenAI-Anwendungen mit Integration der OWASP LLM Top 10
MITRE ATT&CK & ATLAS-Abbildung: Bedrohungen werden mit standardisierten Angreifertechnik-IDs annotiert (MITRE ATT&CK Enterprise für herkömmliche Infrastrukturangriffe, ATLAS für ML/LLM-spezifische Angriffe) – als Spalten in Markdown, verlinkte Pillen in HTML und mitre_attack-Eigenschaften in SARIF dargestellt.
Erkennung von Architekturmustern: Erkennt automatisch RAG-Pipelines, Multi-Agenten-Systeme, Codeausführungsumgebungen, Tool-Ökosysteme und mehr aus Anwendungsbeschreibungen (inspiriert von CSA MAESTRO).
Eingebauter draw.io-Diagrammeditor: Erstellen und bearbeiten Sie Architekturdiagramme direkt in STRIDE-GPT mit dem integrierten diagrams.net-Editor – kein externes Tool erforderlich. Diagramme werden als XML geparst, um Komponenten, Verbindungen und Vertrauensgrenzen zu extrahieren, was einen deutlich reichhaltigeren Kontext für die Erstellung von Bedrohungsmodellen bietet als die reine Bildanalyse. Der bestehende Workflow zum Hochladen von Bildern bleibt unverändert. Standardmäßig lädt der Editor vom gehosteten embed.diagrams.net; für selbst gehostete oder luftspaltbereinigte Umgebungen konfigurieren Sie ihn über die Umgebungsvariable STRIDE_GPT_DRAWIO_URL auf Ihre eigene draw.io-Instanz.

Unternehmenseinsatz

Möchten Sie STRIDE-GPT für Ihre Organisation anpassen? Schauen Sie sich unseren umfassenden Operationalisierungsleitfaden an, um zu erfahren, wie Sie:

🎯 Organisationsspezifische Sicherheitskontrollen und -standards einbinden
📋 Bedrohungsmodelle mit Ihren Compliance-Anforderungen anpassen
🔧 STRIDE-GPT intern forken und bereitstellen
📊 Kontextbezogene, umsetzbare Bedrohungsmodelle erhalten, die auf Ihre Umgebung zugeschnitten sind

Der Leitfaden enthält Schritt-für-Schritt-Anleitungen, Codebeispiele und Bereitstellungsmuster für Organisationen, die KI-gestützte Bedrohungsmodellierung in ihren Teams skalieren möchten.

Vortrag auf dem Open Security Summit

Im Januar 2024 hielt ich einen Vortrag über STRIDE GPT auf dem Open Security Summit. In dem Vortrag diskutierte ich die Entstehung des Projekts, seine Kernfunktionen, aktuelle Aktualisierungen und einige Zukunftspläne. Sie können die vollständige Präsentation unten ansehen:

Dieses Video ist eine hervorragende Ressource für alle, die verstehen möchten, wie STRIDE GPT funktioniert und wie es zur Verbesserung der Bedrohungsmodellierung eingesetzt werden kann.

Änderungsprotokoll

Version 0.19 (aktuell)

--version-Flag (#161): stride-gpt --version gibt nun die installierte Version aus und beendet sich; das interaktive TUI-Banner zeigt die laufende Version an, sodass Sie auf einen Blick sehen, welche Sie verwenden.
Abhängigkeitsmanagement auf uv konsolidiert (schließt #155): uv.lock ist nun die alleinige Quelle der Wahrheit für alle Abhängigkeiten. Die doppelten requirements.txt-Dateien werden ausgemustert; das Docker-UI-Image und der Sicherheitsscan-Workflow installieren über uv export aus uv.lock, sodass das Ausgelieferte und das Gescannte nicht mehr von dem abweichen können, was gesperrt ist. Keine Änderung für Benutzer von pip install stride-gpt.
Dokumentation: Beispielausgabe eines Bedrohungsmodells als Markdown (#151) und ein interaktiver REPL-Spickzettel (#163) wurden zur README hinzugefügt.

Version 0.18

Eingebauter draw.io-Diagrammeditor (#132, #138): Der Streamlit-Tab „Bedrohungsmodell“ bindet nun den diagrams.net-Editor ein, sodass Sie ein Architekturdiagramm direkt in der App skizzieren können; beim Speichern wird das Diagramm-XML geparst (Komponenten, Verbindungen, Vertrauensgrenzen) und in den Prompt für das Bedrohungsmodell eingefügt. GitHub-Analyse, Bild-Upload, der Diagrammeditor und ein KI-gestützter geführter Builder werden in einem einzigen Tab-Bereich „Ihre Anwendung beschreiben“ über einer einzigen Beschreibungsfläche vereint, sodass die optionalen Eingaben das primäre Beschreibungsfeld nicht mehr überlagern. Der geführte Builder ruft nun das ausgewählte Modell auf, um einen Beschreibungsentwurf zu erstellen und fehlende sicherheitsrelevante Details vorzuschlagen, und ersetzt damit die vorherige statische Vorlage und Abdeckungsprüfungen. Für selbst gehostete oder luftspaltbereinigte Umgebungen ist der Editor-Host über STRIDE_GPT_DRAWIO_URL konfigurierbar (Standard: embed.diagrams.net), der postMessage-Ursprung des iframes ist darauf beschränkt und nicht vertrauenswürdiges Diagramm-XML wird mit defusedxml geparst.
DeepSeek-Anbieterunterstützung (schließt #133): DeepSeek ist nun ein erstklassiger Modellanbieter sowohl im CLI-Setup-Assistenten als auch in der Streamlit-Oberfläche und bietet deepseek-v4-pro und deepseek-v4-flash. Aufrufe erfolgen über die native deepseek/-Integration von LiteLLM (gehosteter Endpunkt, keine benutzerdefinierte Basis-URL erforderlich); setzen Sie Ihren Schlüssel über DEEPSEEK_API_KEY.

Version 0.17

MITRE ATT&CK- und ATLAS-Integration (schließt #36): Von /analyze und /quick ausgegebene Bedrohungen können nun standardisierte Angreifertechnik-IDs von MITRE ATT&CK Enterprise (v17.1) und MITRE ATLAS (2026.05) enthalten. Zwei neue Referenzkarten mit progressiver Offenlegung (mitre_enterprise, mitre_atlas) weisen den Agenten an, nur die katalogisierten IDs und Namen zu verwenden, wodurch das Halluzinieren von IDs verhindert wird. Karten werden über scripts/refresh_mitre_cards.py aus den upstream STIX/YAML-Daten neu generiert, nicht aus dem Modellgedächtnis geschrieben. Techniken werden als Spalte MITRE ATT&CK in Markdown-Tabellen, als anklickbare, himmelblau getönte Pillen in HTML und als properties.mitre_attack-Arrays in SARIF dargestellt.
HTML-Bericht als Begleiter: /analyze und /quick geben nun zusammen mit den Markdown-/JSON-/SARIF-Ausgaben einen eigenständigen, im Browser anzeigbaren HTML-Bericht aus, der sich zum Teilen mit Stakeholdern eignet.
Anthropic Claude Opus 4.8: Unterstützung für claude-opus-4-8, das neueste Frontier-Modell von Anthropic, zusätzlich zum bestehenden Opus 4.7. Beide können als Architekten- oder Workermodell ausgewählt werden.

Version 0.16

Eigenständige CLI: Erste Veröffentlichung von STRIDE-GPT als pip install stride-gpt-CLI, getrennt von der veralteten Streamlit-Weboberfläche. Zwei Hauptbefehle: /analyze (autonome agentische Codebasisanalyse mit einem Planer, pro-Subsystem Tool-verwendenden Agenten-Schleifen und einem querschnittlichen Synthesedurchlauf) und /quick (einmaliges Bedrohungsmodell aus einer geschriebenen Anwendungsbeschreibung).
Referenzkarten mit progressiver Offenlegung: genai (OWASP LLM Top 10), agentic (OWASP ASI Top 10) und insider_threat-Karten beschreiben sich selbst über YAML-Frontmatter; der Agent entdeckt sie über list_references und lädt die Inhalte über load_reference.
Zwei-Ebenen-Modell-Routing: Aufteilung in Architekt + Worker-Modell für kosteneffiziente Analyse, wobei Frontier-Modelle für Planung und Synthese reserviert sind.
Interaktiver REPL: Voll ausgestattete Terminalerfahrung mit Tab-Vervollständigung, Verlauf, Echtzeit-Fortschritt und einer Statuszeile.
Multi-Format-Ausgabe: Markdown, JSON und SARIF (importierbar in GitHub, GitLab, Azure DevOps, IDEs).
0.16.1-Patch: Der LiteLLM-Logger wurde in stride_gpt/__init__.py auf ERROR gesetzt, sodass die Vorab-Ladewarnungen von Bedrock/SageMaker nicht mehr bei frischen Installationen ohne erscheinen.

Klicken Sie hier, um die Versionshinweise für frühere Versionen (0.15 und älter) anzuzeigen.

Version 0.15

Unterstützung für agentische KI-Anwendungen: Umfassende Unterstützung für die Bedrohungsmodellierung agentischer KI-Systeme mit Integration der OWASP Top 10 für agentische Anwendungen (ASI01-ASI10). Wählen Sie einfach „Agentische KI-Anwendung“ und beschreiben Sie Ihr System – das LLM erkennt automatisch Architekturmuster und wendet relevante Bedrohungskategorien an. Jedes ASI-Risiko wird der entsprechenden STRIDE-Kategorie für eine konsistente Bedrohungsanalyse zugeordnet.
Unterstützung für generative KI-Anwendungen: Unterstützung für die Bedrohungsmodellierung von GenAI-Anwendungen mit Integration der OWASP LLM Top 10 (LLM01-LLM10). Wählen Sie „Generative KI-Anwendung“ und beschreiben Sie Ihr System, um eine maßgeschneiderte LLM-spezifische Bedrohungsanalyse zu erhalten. Agentische KI-Anwendungen umfassen sowohl LLM- als auch ASI-Risikokategorien für eine umfassende Abdeckung.
MAESTRO-inspirierte Erkennung von Architekturmustern: Verbesserte agentische Bedrohungsanalyse mit automatischer Erkennung von Architekturmustern aus Anwendungsbeschreibungen, inspiriert vom Cloud Security Alliance MAESTRO-Framework. Das LLM identifiziert nun musterspezifische Bedrohungen für:
- RAG/Retrieval-Systeme: Vektorspeicher-Vergiftung, Einbettungsmanipulation, mandantenübergreifender Datenabfluss
- Multi-Agenten-Systeme: Agenten-Identitätsdiebstahl, Nachrichtenfälschung zwischen Agenten, kaskadierende Kompromittierungen
- Codeausführungsumgebungen: Sandbox-Escape, Container-Breakout, bösartige Codegenerierung
- Tool-/MCP-Ökosysteme: Schurkische Tool-Anbieter, Supply-Chain-Angriffe, Confused-Deputy-Schwachstellen
- Persistenter Speicher: Speichervergiftung, sitzungsübergreifender Datenabfluss, Zustandsmanipulation
- Autonome Operationen: Persistenz schurkischer Agenten, Umgehung menschlicher Aufsicht, Endlosschleifen
Schichtübergreifende Bedrohungsanalyse: Bedrohungsmodelle enthalten nun komponentenübergreifende Angriffsketten, die zeigen, wie eine Kompromittierung in einer Architekturschicht Angriffe auf andere ermöglichen kann (z.B. RAG-Vergiftung → Zielentführung des Agenten → Tool-Missbrauch → Datenerfassung).

Installation

Option 1: pip (nur CLI)```bash

pip install stride-gpt

Dies installiert den Befehl `stride-gpt`. Die CLI und die Streamlit-Web-Benutzeroberfläche sind jetzt separate Produkte — `pip install stride-gpt` liefert dir die schlanke CLI ohne Streamlit-Fußabdruck. Um die Weboberfläche aus dem Quellcode auszuführen, siehe Option 2 unten.

### Option 2: Aus dem Quellcode

1. Klone das Repository:

    ```bash
    git clone https://github.com/mrwadams/stride-gpt.git
    cd stride-gpt
    ```

2. Installiere mit [uv](https://docs.astral.sh/uv/) (empfohlen — `uv.lock` ist die alleinige Quelle der Wahrheit für Abhängigkeiten):   ```bash
   # CLI plus the Streamlit web UI deps
   uv sync

Oder installieren Sie einfach die CLI mit pip: ```bash pip install -e .

3. (Optional) Umgebungsvariablen einrichten:   ```bash
cp .env.example .env

Bearbeiten Sie .env, um Ihre API-Schlüssel hinzuzufügen — oder konfigurieren Sie sie später, indem Sie stride-gpt ausführen und den /config-Befehl in der interaktiven REPL oder über die Streamlit UI verwenden.

Option 3: Docker (web UI)

Die Streamlit web UI wird als Docker-Image ausgeliefert:```bash docker pull mrwadams/stridegpt:latest

Für die CLI verwenden Sie `pip install stride-gpt` – es gibt kein separates CLI-Image. Wenn Sie eine gesandboxte CLI benötigen, bauen Sie Ihre eigene aus einem minimalen Python-Basis-Image.

## Repository-Struktur

STRIDE-GPT ist als kleines Monorepo organisiert: eine gemeinsame Python-Bibliothek, eine oder mehrere Apps, die diese nutzen.```
stride-gpt/
├── stride_gpt/    # shared library + Python CLI (core, agent loop, prompts, schemas, models)
├── apps/
│   └── web/       # Streamlit web UI
├── tests/         # pytest suite
└── pyproject.toml # single project file; web UI deps live in the `web` dependency-group

Das Verzeichnis apps/ ist der Platz für zusätzliche bereitstellbare Frontends – zum Beispiel würde eine zukünftige Node/TypeScript-CLI neben apps/web/ existieren. Die Python-CLI selbst bleibt in stride_gpt/cli.py, da sie eng mit der gemeinsam genutzten Bibliothek verknüpft ist.

Verwendung

CLI

Agentische Codebasis-Analyse – der Agent erkundet autonom eine Codebasis, plant seine Analyse und erstellt ein STRIDE-Bedrohungsmodell:```bash

Analyze the current directory

stride-gpt analyze .

Specify a model and auto-approve the analysis plan

stride-gpt analyze ./my-app --worker-model anthropic/claude-sonnet-4-6 -y

Export as JSON, SARIF, or browser-viewable HTML

stride-gpt analyze . -o report.json -f json # also writes report.html alongside stride-gpt analyze . -o report.sarif -f sarif stride-gpt analyze . -o report.html -f html

> Jede Analyse speichert automatisch ein JSON und ein HTML-Begleitdokument in `~/.stride-gpt/reports/analyze/`, sodass die browseransichtsfähige Ansicht immer nur einen Klick entfernt ist, auch wenn Sie ohne `-o` ausführen.

> **Hinweis zu den Kosten:** Die agentische Analyse ist gründlich – der Agent führt viele LLM-Aufrufe durch und liest viele Dateien, während er erkundet. Token-Nutzung und Kosten skalieren mit der Größe der Codebasis und Ihrem gewählten Modell, und ein vollständiger Durchlauf in einem großen Repository mit einem Spitzenmodell kann teuer sein. Legen Sie vor dem Ausführen in Ihrem Provider-Dashboard Ausgabenlimits fest und ziehen Sie für erste Durchläufe schnellere/günstigere Modelle in Betracht.

**Schneller Single-Shot-Modus** – Erstellen eines Bedrohungsmodells aus einer Textbeschreibung (wie die Streamlit-Benutzeroberfläche, aber im Terminal):```bash
# Read description from a file
stride-gpt quick -i app-description.txt

# Pipe from stdin
echo "A web API that processes payments..." | stride-gpt quick

Interactive REPL — starten Sie eine interaktive Sitzung mit Tab-Vervollständigung und Verlauf:```bash stride-gpt

Geben Sie im REPL `/help` ein, um verfügbare Befehle und Flags anzuzeigen. Die Version wird unter dem ASCII-Banner beim Start angezeigt. Siehe das [Interaktive REPL-Spickzettel](#interactive-repl-cheat-sheet) unten für die vollständige Befehls- und Tastenkürzel-Referenz.

#### Interaktiver REPL-Spickzettel

Starten Sie den REPL mit `stride-gpt` (keine Argumente), verwenden Sie dann diese Befehle und Tastenkürzel.

**Befehle** — geben Sie einen Schrägstrich-Befehl an der Eingabeaufforderung ein:

| Befehl | Bedeutung |
|--------|-----------|
| `/analyze [Pfad]` | Analysiert eine Codebasis auf STRIDE-Bedrohungen (ein einfacher Verzeichnispfad funktioniert auch) |
| `/quick` | Schnelles Bedrohungsmodell aus einer Textbeschreibung |
| `/reports` | Listet frühere Analyseberichte auf (`/reports <n>` zeigt einen an) |
| `/config` | Einstellungen anzeigen oder ändern (Modell, Provider, API-Schlüssel) |
| `/help` | Verfügbare Befehle, Flags und Beispiele anzeigen |
| `/quit` | Beenden (Aliase: `/exit`, `/q`) |

`/analyze`, `/quick` und `/reports` akzeptieren Flags: `-o`/`--output <Pfad>`, `-f`/`--format <markdown\|json\|sarif\|html>`, `-y`/`--yes` und `-i`/`--input <Pfad>` (`/quick`). Geben Sie `/help` ein für die vollständige Liste.

**Tastaturkürzel:**

| Taste | Aktion |
|-------|--------|
| `Tab` | Schrägstrich-Befehle und Dateipfade vervollständigen |
| `↑` / `↓` | Durch die Befehlshistorie scrollen |
| `→` / `Ende` | Den ausgegrauten Historienvorschlag annehmen |
| `Strg+L` | Bildschirm und Rückscrollverlauf löschen |
| `Strg+C` / `Strg+D` | REPL beenden |

**Installierte Version prüfen:**```bash
stride-gpt --version    # prints e.g. "stride-gpt 0.19.0" and exits

Allgemeine Flags:

Jede Stufe akzeptiert auch --worker-api-key / --worker-api-base / --worker-max-tokens (und die --architect-*-Entsprechungen). Führen Sie stride-gpt analyze --help oder stride-gpt quick --help aus, um die vollständige Liste zu erhalten.

Strukturierte Zwischenergebnisse — wenn -o <path> verwendet wird, werden drei JSON-Geschwisterdateien zusammen mit dem Bericht erstellt, sodass der Lauf überprüft oder von nachgelagerten Werkzeugen verwendet werden kann:

Das Format-Flag (-f) steuert nur das Berichtsartefakt; die Geschwisterdateien sind immer JSON. Dateipfade im Manifest und in den Ergebnissen werden geschwärzt (./… wenn im Arbeitsverzeichnis, ~/… wenn unter $HOME), sodass ein Manifest sicher geteilt werden kann. Das automatische Archiv unter ~/.stride-gpt/reports/{analyze,quick}/ ist davon nicht betroffen — Geschwisterdateien werden nur ausgegeben, wenn Sie -o angeben.

Vorherige Berichte anzeigen:```bash stride-gpt reports # List recent reports stride-gpt reports 1 # View report #1 stride-gpt reports 1 -o r.json -f json # Export a report

### Streamlit Web UI

Die Web-UI ist eine separate Anwendung von der CLI. Starte sie mit:```bash
streamlit run apps/web/main.py

Öffnen Sie die bereitgestellte URL in Ihrem Browser und folgen Sie den Anweisungen auf dem Bildschirm.

Docker```bash

docker run -p 8501:8501 --env-file .env mrwadams/stridegpt

## Beispielausgabe

Jeder `stride-gpt analyze`- und `stride-gpt quick`-Durchlauf gibt standardmäßig einen Markdown-Bericht aus (mit JSON, SARIF und einer eigenständigen HTML-Ansicht über `-f`). Das Markdown gruppiert Bedrohungen nach Subsystem in STRIDE-Tabellen, fügt einen querschnittlichen Abschnitt für Bedrohungen hinzu, die Komponenten umfassen, und endet mit einer Zusammenfassung des Durchlaufs. Optionale Spalten (OWASP LLM/ASI, Insider-Kategorie, MITRE ATT&CK) erscheinen nur, wenn ein Durchlauf sie befüllt.

Nachfolgend finden Sie das Markdown eines Durchlaufs gegen eine fiktive Zahlungs-API, damit Sie die Form der Ausgabe sehen können, bevor Sie das Tool ausführen. Es handelt sich um eine echte Wiedergabe aus der Berichtsengine, nicht um einen Entwurf.

<details>
<summary>Beispiel-Markdown-Bedrohungsmodell (zum Erweitern klicken)</summary>````markdown
# STRIDE Threat Model: acme-payments-api

> Generated by STRIDE-GPT on 2026-07-16T09:42:00Z

## Overview

A Python FastAPI service that accepts card payments, stores customer profiles in PostgreSQL, and calls a third-party payment processor. Authentication is handled by JWT bearer tokens issued by an internal auth service; the API is internet-facing behind an API gateway.

## Data Flow Diagram

```mermaid
flowchart LR
    Client[Client App] -->|HTTPS + JWT| Gateway[API Gateway]
    Gateway --> API[Payments API]
    API -->|SQL| DB[(PostgreSQL)]
    API -->|HTTPS| Processor[Payment Processor]

Authentication & Authorization

Files Analyzed

app/auth/jwt.py
app/auth/dependencies.py

Threats

Threat Type	Scenario	Potential Impact	MITRE ATT&CK
Spoofing	An attacker forges a JWT using a weak or leaked signing secret to impersonate another customer.

Recommendations

Enforce role checks on every privileged route via a shared dependency, not per-handler logic.
Rotate and store the JWT signing secret in a managed secrets store rather than an env file.

Payments & Data Storage

Files Analyzed

app/payments/routes.py
app/db/models.py

Threats

Threat Type	Scenario	Potential Impact	MITRE ATT&CK
Information Disclosure	Full card numbers are logged in request debug logs when a payment fails.	PCI-DSS violation and exposure of cardholder data to anyone with log access.

Recommendations

Redact PANs before logging and route logs through a PCI-scoped sink.
Derive the charge amount from the server-side order record, never the request body.

Cross-Cutting Threats

Threat Type	Scenario	Potential Impact	MITRE ATT&CK	Affected Subsystems
Denial of Service	No rate limiting on the payment endpoint lets an attacker exhaust the processor quota and DB connections.	Legitimate payments fail during the attack; possible processor throttling.	T1499 (Endpoint Denial of Service)	Authentication & Authorization, Payments & Data Storage

Summary

Total threats identified: 5
Subsystems analyzed: 2
Cross-cutting threats: 1
LLM calls: 34
Tool calls: 58
Architect model: OpenAI API/gpt-5.4
Worker model: Anthropic API/claude-sonnet-4-6

</details>

`stride-gpt quick` erzeugt die gleiche Tabellenform aus einer schriftlichen Beschreibung, zusammengefasst in einem einzigen **Application**-Subsystem anstatt aufgeteilt pro Subsystem.

## Sicherheitsempfehlungen

STRIDE GPT ist für die lokale Einzelbenutzerbereitstellung konzipiert. Beachten Sie bei der Nutzung des Tools:

### Schutz Ihrer API-Schlüssel

**Ihre API-Schlüssel sind sensible Anmeldeinformationen, die Kosten auf Ihrem Konto verursachen können.**

✅ **TUN:**
- API-Schlüssel über die Benutzeroberfläche eingeben (sie bleiben in Ihrer Browsersitzung)
- .env-Datei zur Bequemlichkeit auf Ihrem persönlichen Rechner verwenden
- Ausgabenlimits im Dashboard Ihres LLM-Anbieters festlegen
- API-Nutzung und -Kosten regelmäßig überprüfen
- Sitzung bei Verwendung auf gemeinsam genutzten Computern löschen

❌ **NICHT TUN:**
- .env-Dateien in die Versionskontrolle einchecken (bereits in .gitignore)
- Screenshots mit sichtbaren API-Schlüsseln teilen
- STRIDE GPT auf nicht vertrauenswürdigen/kompromittierten Systemen ausführen
- Ihre API-Schlüssel mit anderen teilen
- Unerwartete API-Kosten ignorieren

### Datenschutzüberlegungen

Wenn Sie Bedrohungsmodelle erstellen, sendet STRIDE GPT Daten an Ihren gewählten LLM-Anbieter:
- Anwendungsdetails (Art, Authentifizierungsmethoden, Architektur)
- Systemarchitekturbeschreibungen
- Hochgeladene Architekturdiagramme/-bilder
- Generierte Bedrohungsmodelle und Gegenmaßnahmen

**Was das bedeutet:**
- OpenAI, Anthropic, Google usw. können diese Daten gemäß ihren Datenschutzrichtlinien protokollieren
- Erwägen Sie die Verwendung generischer/fiktiver Systemdetails für Demonstrationen
- Überprüfen Sie die Datenspeicherungs- und Datenschutzrichtlinien Ihres LLM-Anbieters
- Für sensible Systeme sollten Sie Folgendes in Betracht ziehen:
  - Verwendung lokaler Modelle (LM Studio)
  - Verwendung von Anbietern mit strengeren Datenschutzgarantien
  - Bereinigung von Systembeschreibungen vor der Eingabe

### Für Team-/Organisationsbereitstellungen

Wenn Sie STRIDE GPT für mehrere Benutzer bereitstellen (nicht der Standardfall):
- Authentifizierung/Authorisierung hinzufügen (standardmäßig nicht enthalten)
- Verwenden Sie einen Secret-Management-Dienst für API-Schlüssel
- Hinter einem VPN oder internen Netzwerk bereitstellen
- Lesen Sie das Dokument [SECURITY.md](https://github.com/mrwadams/stride-gpt/blob/HEAD/SECURITY.md) für zusätzliche Überlegungen
- Berücksichtigen Sie Anforderungen an Datenaufbewahrungsort und Compliance
- Implementieren Sie geeignete Zugriffskontrollen für generierte Bedrohungsmodelle

### Sicherheit der Abhängigkeiten

Wir pflegen Abhängigkeiten und überwachen auf Schwachstellen:
- Abhängigkeiten werden regelmäßig über Dependabot aktualisiert
- Automatisierte Sicherheitsscans werden bei jedem Commit ausgeführt
- Sicherheitshinweise werden im GitHub Security-Tab verfolgt
- Führen Sie `pip-audit` aus, um lokal auf bekannte Schwachstellen zu prüfen

Siehe [SECURITY.md](https://github.com/mrwadams/stride-gpt/blob/HEAD/SECURITY.md) für umfassende Sicherheitsinformationen, einschließlich automatisierter Sicherheitsscans, Meldung von Schwachstellen und sicheren Entwicklungspraktiken.

### Melden von Sicherheitsproblemen

Ein Sicherheitsproblem gefunden? Bitte melden Sie es verantwortungsvoll:
- Erstellen Sie ein Security Advisory über die [private Schwachstellenmeldung](https://github.com/mrwadams/stride-gpt/security/advisories/new) von GitHub
- Veröffentlichen Sie Sicherheitsprobleme nicht öffentlich
- Wir werden innerhalb von 48 Stunden antworten
- Korrekturen werden priorisiert und schnell veröffentlicht

## Mitwirken

Pull-Requests sind willkommen. Bei größeren Änderungen eröffnen Sie bitte zuerst ein Issue, um zu besprechen, was Sie ändern möchten.

## Lizenz

[MIT](https://choosealicense.com/licenses/mit/)

`--version`	Gibt die installierte Version aus (`stride-gpt <version>`) und beendet das Programm
`-o`, `--output`	Speichert den Bericht in einer Datei
`-f`, `--format`	Ausgabeformat: `markdown` (Standard), `json`, `sarif`, `html`
`-i`, `--input`	Liest die App-Beschreibung aus einer Datei (nur `quick`)
`-y`, `--yes`	Analyseplan automatisch genehmigen (nur `analyze`)
`--worker-model`	Standard-Stufenmodell, das den Großteil der Aufrufe verarbeitet (z.B. `anthropic/claude-sonnet-4-6`). Verwendet gespeicherte Konfiguration, falls nicht angegeben.
`--architect-model`	Stärkeres Modell für Planung/Synthese (z.B. `openai/gpt-5.4`). Verwendet gespeicherte Konfiguration, falls nicht angegeben.
`--no-architect`	Überspringt die Architekturstufe für diesen Lauf; der Worker übernimmt alle Aufrufe.
`--app-type`	Überschreibt den vom Planer erkannten App-Typ (nur `analyze`): `auto` (Standard), `web`, `genai`, `agentic`.
`--max-llm-calls`	Begrenzt die gesamten LLM-Aufrufe über beide Stufen (nur `analyze`; `0` = unbegrenzt).
`--max-tool-calls`	Begrenzt die gesamten Tool-Ausführungen (nur `analyze`; `0` = unbegrenzt).

`<stem>.plan.json`	Der vom Architekten erstellte `AnalysisPlan` — Subsysteme, Schwerpunktbereiche, erkannter App-Typ (nur `analyze`).
`<stem>.findings.json`	Liste der `SubsystemFinding` pro Subsystem, querschnittliche Bedrohungen und das systemweite Datenflussdiagramm (nur `analyze`).
`<stem>.run.json`	Ein `RunManifest` — Modelle, Hash von Prompt + Konfiguration, Referenzen des tatsächlich geladenen Agents, Git-SHA, Version, Zeitmessung. Wird sowohl für `analyze` als auch für `quick` ausgegeben.

stride-gpt

Beliebteste

Version 0.14.1

Version 0.13

Version 0.12

Version 0.11

Version 0.10

Version 0.9

Version 0.8.1

Version 0.8

Version 0.7

Version 0.6

Version 0.5

Version 0.4

Version 0.3

Version 0.2

Version 0.1