Agente de ciberseguridad sin conexión para tus aplicaciones y herramientas de programación con IA. I+D abierta: medida en público, mejorada en cada versión.
La revisión de seguridad para la que nunca tuviste tiempo. Sin conexión, basada en reglas y puedes verificar cada hallazgo tú mismo.
penthera.org: comprueba tu sitio en vivo en unos segundos. Pasivo, no se almacena nada.
Notas diarias de Penthera: x.com/penthera_org
132 reglas legibles · 6 herramientas MCP de solo lectura · 1 dependencia en tiempo de ejecución · 0 peticiones fuera de loopback en el benchmark · MIT, sin telemetría
penthera ui, Simple, oscuro | penthera ui, Advanced, claro |
|---|---|
 |  |
Penthera revisa tu app, sus dependencias y tus herramientas de codificación con IA en tu propia máquina. Corrige lo que puede, con tu aprobación. Cada hallazgo proviene de una regla que puedes leer, con su evidencia en file:line. Un modelo puede proponer; una regla decide.
También es un proyecto abierto de I+D. Medimos cada comprobación en público y publicamos los resultados, buenos o malos, para que veas hasta qué punto puedes confiar en él.
Encuentra clases de problemas conocidas, no nuevas. No sustituye a un pentester humano.
Necesitas Node.js 22 o posterior. Sin instalación, sin cuenta.
¿Construyes con Cursor, Claude Code, Codex, VS Code, Windsurf, Gemini CLI, Zed, JetBrains o Kiro, o con un creador de apps como Lovable, Bolt, Base44, Replit o v0? Penthera en tu herramienta de codificación tiene la configuración para cada una.
En tu terminal. Ejecuta esto en la carpeta de tu proyecto:
npx penthera
Lo detecta en tu entorno de forma offline, te pregunta qué comprobar y te da una calificación por área y las tres cosas que debes corregir primero. Solo escanea tu aplicación en ejecución después de que confirmes que la aplicación es tuya. No se hace commit ni push (inicio guiado).
En tu agente de programación, como una skill. Luego pregunta "scan my app for security issues":
npx skills add danoszz/penthera
En tu agente de programación, como servidor MCP. Seis herramientas de solo lectura para Claude Code, Cursor, Codex, VS Code y Windsurf. Fija la versión:
claude mcp add penthera -- npx -y [email protected] mcp
En Claude Code, como un plugin. Desde el prompt de Claude Code:
/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera
En Gemini CLI, como una extensión. Ejecuta el servidor MCP fijado en
gemini-extension.json, que sigue la versión más reciente,
incluidas las versiones candidatas:
gemini extensions install https://github.com/danoszz/penthera
Otros clientes: docs/commands/mcp.md. Otras rutas de instalación de skills: docs/commands/skill.md.
Para ejecutarlo en un contenedor:
docker build -t penthera . && docker run --rm penthera https://your-app.example.
Probamos Penthera en conjuntos de datos públicos creados por otras personas, junto a las herramientas de código abierto gratuitas que hacen el mismo trabajo, puntuadas de la misma manera. Cada conjunto de datos se dividió por la mitad antes de que lo examináramos: mejoramos Penthera en una mitad y lo puntuamos una sola vez en la otra, la mitad sellada. Las reglas de puntuación y clasificación se escribieron antes de esa ejecución (protocolo).
| Benchmark | Puntuación | Penthera 1.9.0 | Penthera 2.0.0 | Posición entre las herramientas gratuitas | Mejor otra herramienta gratuita |
|---|---|---|---|---|---|
| Secretos filtrados (Samsung CredData) | F1 | 0.18 | 0.74 | 2.º de 10 | deepsecrets 0.78 |
| Paquetes npm maliciosos (DataDog) | detectados menos falsas alarmas | 0.57 | 0.71 | 1.º de 6, empatado 1.º a 3.º ⁴ | malcontent 0.63 |
| Paquetes PyPI maliciosos (DataDog) | detectados menos falsas alarmas | 0.74 | 0.82 | 1.º de 8, empatado 1.º a 3.º ⁴ | GuardDog 0.74 |
| Errores de inyección en bibliotecas JS (SecBench.js) | encontrados en el archivo correcto | 0.16 | 0.70 | 1.º de 8, empatado 1.º a 4.º ⁴ | odgen 0.68 |
⁴ Un rango empatado es un intervalo de posición: el rango en el que cayó la posición de Penthera en el 95% de 10.000 remuestreos bootstrap de los recuentos de cada herramienta (en SecBench.js, de sus 64 errores de prueba). Penthera por sí sola quedó primera en el 76% de los remuestreos en npm, el 82% en PyPI y el 60% en SecBench.js. Exploratorio: calculado después de la clasificación registrada.
Secretos filtrados: 2.º por F1, la puntuación registrada; 1.º por F0.5, que pondera más la precisión (0.82 frente a deepsecrets 0.80); 2.º por F2, que pondera más la exhaustividad (0.68 frente a deepsecrets 0.77).
Algunas herramientas clasificadas apenas compiten. Otras herramientas clasificadas con puntuación inferior a 0.10: 1 de 9 en CredData (trufflehog); 3 de 5 en npm (clamav, yara, ossgadget); 4 de 7 en PyPI (clamav, ossgadget, bandit4mal, aura); 1 de 7 en SecBench.js (njsscan).