vulnhawk — Escáner SAST impulsado por IA que encuentra bypass de autenticación, IDOR y fallos lógicos que Semgrep/CodeQL pasan por alto. Acción gratuita de GitHub. Soporta Python, JS/TS, Go, PHP, Ruby. | Kitploit

# Claude Code CLI - FREE for subscribers (recommended)
vulnhawk scan ./src -b claude-code

# Codex CLI - FREE for ChatGPT Pro/Plus subscribers
vulnhawk scan ./src -b codex

# Claude API
export ANTHROPIC_API_KEY=sk-ant-...
vulnhawk scan ./src

# OpenAI API
vulnhawk scan ./src -b openai -m gpt-4o

# Ollama - free, local, fully private
vulnhawk scan ./src -b ollama -m llama3.1

Capacidad	VulnHawk	Semgrep	CodeQL	Snyk Code	Checkmarx	SonarQube
Método de detección	Razonamiento con IA	Patrones AST	Flujo de datos QL	ML + reglas	Patrones + flujo	Patrones
Fallos de lógica de negocio	Sí	No	Limitado	Limitado	Limitado	No
Contexto entre archivos	Automático	Reglas personalizadas	Consultas personalizadas	Parcial	Nivel de pago	Limitado
Complejidad de configuración	Sin configuración	Configuración de reglas	Construcción BD + QL	Archivo de configuración	Complejo	Configuración de servidor
Reglas personalizadas necesarias	No	Sí (YAML)	Sí (QL)	Parcial	Sí	Sí
Correcciones conscientes del contexto	Sí	Genéricas	Genéricas	Genéricas	Genéricas	Genéricas
Modo local/privado	Ollama	Sí	Sí	No	No	Auto-alojado
Integración CI/CD	Acción de 1 línea	Acción	Acción	Acción	Plugin	Plugin
Entrada SARIF (encadenar herramientas)	Sí

Clase de vulnerabilidad	Por qué las herramientas basadas en reglas lo pasan por alto
Autorización faltante en 1 de N endpoints	No hay patrón que coincida: el error es la ausencia de una verificación
IDOR / BOLA	Requiere entender que el ID de usuario en el JWT debe coincidir con el ID en la URL
Manipulación del monto de pago	Lógica de negocio: el campo de monto no debería confiarse del cliente
Validación de entrada inconsistente	5 controladores sanitizan, el 6.º no: necesita comparación entre archivos
Uso incorrecto de entrada almacenada	Entrada guardada de forma segura, pero `eval()`'da o en SQL crudo 3 archivos después
Condiciones de carrera en actualizaciones de estado	Modificaciones concurrentes de saldo sin bloqueo

Capa	Herramienta	Propósito
1	Semgrep	Control de acceso rápido y determinista sobre patrones conocidos malos
2	CodeQL	Seguimiento profundo de contaminación en cadenas de llamadas complejas
3	VulnHawk	Lógica de negocio, brechas de autenticación, IDOR e inconsistencias que las reglas no pueden expresar

vulnhawk scan ./src                      # Escaneo completo (predeterminado)
vulnhawk scan ./src --mode auth          # Bypass de autenticación, verificaciones faltantes, fallos de sesión
vulnhawk scan ./src --mode injection     # SQLi, inyección de comandos, SSTI, XSS
vulnhawk scan ./src --mode secrets       # Claves, tokens, contraseñas hardcodeadas
vulnhawk scan ./src --mode config        # Modo depuración, CORS permisivo, cookies inseguras
vulnhawk scan ./src --mode crypto        # Hashing débil, claves hardcodeadas, RNG malo

vulnhawk scan ./src -o json -f results.json        # JSON
vulnhawk scan ./src -o sarif -f results.sarif       # SARIF (Escaneo de código de GitHub)
vulnhawk scan ./src -o markdown -f report.md        # Informe Markdown

name: VulnHawk Security Scan
on:
  push:
    branches: [main, master]
  pull_request:

permissions:
  security-events: write
  contents: read

jobs:
  vulnhawk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: momenbasel/vulnhawk@main
        with:
          target: '.'
          backend: 'claude-code'
          claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          severity: 'medium'
          fail-on-findings: 'true'

Backend	Configuración
Claude Code (gratis)	`backend: 'claude-code' claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}` Obtén tu token: `claude config get oauth_token`
Codex (gratis)	`backend: 'codex'` Requiere `codex login` en el ejecutor.
Claude API	`api-key: ${{ secrets.ANTHROPIC_API_KEY }}`
OpenAI API	`backend: 'openai' api-key: ${{ secrets.OPENAI_API_KEY }}`

steps:
  - uses: actions/checkout@v4

  - name: Semgrep (escaneo rápido de patrones)
    uses: returntocorp/semgrep-action@v1
    with:
      config: auto
      generateSarif: true

  - name: VulnHawk (análisis profundo con IA)
    uses: momenbasel/vulnhawk@main
    with:
      target: '.'
      backend: 'claude-code'
      claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
      sarif-input: 'semgrep.sarif'

Lenguaje	Extensiones	Detección de frameworks
Python	`.py`	Django, Flask, FastAPI
JavaScript	`.js` `.jsx`	Express, Fastify, Next.js
TypeScript	`.ts` `.tsx`	Express, NestJS, Fastify
Go	`.go`	Manejadores net/http
Java	`.java`	División de clase/método
PHP	`.php`	Rutas Laravel, clases, traits, interfaces
Ruby	`.rb` `.erb`	Rutas Rails, clases, módulos

Base de código ──> Descubrir ──> Fragmentar ──> Enriquecer ──> Analizar ──> Validar ──> Reportar
                     │              │              │               │           │
                Respeta       Funciones      Código          LLM con    Deduplicar +
                .gitignore    Clases         relacionado     indicaciones   puntuación
                .vulnhawk-    Rutas          del mismo       de             de
                ignore        Módulos        dir +           seguridad      confianza
                                             patrones de
                                             autenticación

Backend	Por escaneo (~100 archivos)	Requisito
Claude Code CLI	Gratis	Suscripción a Claude Code Max o Team
Codex CLI	Gratis	Suscripción a ChatGPT Pro o Plus
Claude API	~$0.50 – $2.00	Créditos API de Anthropic
OpenAI API	~$1.00 – $4.00	Créditos API de OpenAI
Ollama	Gratis	Máquina local con 8GB+ de VRAM

Variable	Descripción
`CLAUDE_CODE_OAUTH_TOKEN`	Autenticación CLI de Claude Code (gratis para suscriptores)
`ANTHROPIC_API_KEY`	Clave API de Claude
`OPENAI_API_KEY`	Clave API de OpenAI

vulnhawk

Más Populares

La solución

Inicio rápido

VulnHawk vs otras herramientas SAST

Lo que VulnHawk encuentra que otros no pueden

Combinación de herramientas recomendada

Uso

Modos de escaneo

Formatos de salida

Filtro de gravedad

Entrada SARIF: encadena con otras herramientas

Ejecución en seco

Acción de GitHub

Configuración recomendada

Opciones de backend

Encadenamiento con Semgrep en CI

Lenguajes compatibles

Cómo funciona

Configuración

.vulnhawkignore

Variables de entorno

Costo

FAQ

Contribuciones

Apoya el proyecto

Servicios profesionales

Licencia