iulianvostrut/contexthound
CLI d'analyse statique qui scanne les bases de code pour les injections de prompt LLM, les exfiltrations de données, les jailbreaks et les vulnérabilités liées aux agents/outils non sécurisés. Fonctionne entièrement hors ligne, s'intègre au CI/CD et produit des rapports console, JSON et SARIF.
Outil d'analyse statique qui scanne votre codebase à la recherche de vulnérabilités de sécurité liées à l'injection de prompt et au multimodèle LLM. Fonctionne hors ligne, sans appel d'API nécessaire.
ContextHound est disponible sur l'ensemble de votre flux de développement et de navigation :
| Outil | Fonction | Installation |
|---|---|---|
| CLI / package npm | Scanne votre codebase pour les vulnérabilités d'injection de prompt. S'intègre à GitHub Actions, génère des sorties SARIF, JSON, HTML, etc. | npm install -g context-hound |
| Extension VS Code | Résultats en ligne pendant que vous codez, actions de code, canal de sortie, barre d'état. | VS Code Marketplace |
| Extension navigateur | Pastille de scan en temps réel sur toute interface de chat IA, panneau DevTools pour le trafic API LLM, scanner popup. Chrome et Firefox. | Firefox : Installer gratuit · Chrome : en attente de validation · source |
Alors que les applications basées sur les LLM deviennent courantes dans les codebases de production, l'injection de prompt est apparue comme l'une des surfaces d'attaque les plus exploitables ; la plupart des scanners de sécurité n'en ont pas conscience.
ContextHound apporte l'analyse statique à votre couche de prompt :
Il s'intègre dans votre flux de travail existant en tant que commande CLI, script npm ou GitHub Action, sans dépendances externes.
| 95 règles de sécurité | Dans 14 catégories : injection, exfiltration, jailbreak, utilisation non sécurisée d'outils, injection de commande, empoisonnement RAG, encodage, gestion des sorties, multimodal, marketplace de compétences, agentique, MCP, chaîne d'approvisionnement, DoS |
| Score de risque numérique (0-100) | Score au niveau du dépôt normalisé avec seuils bas, moyen, élevé et critique |
| Détection des mesures d'atténuation | Un langage de sécurité explicite dans vos prompts réduit votre score |
| 7 formats de sortie | Console, JSON, SARIF, Annotations GitHub, Markdown, flux JSONL, et HTML interactif |
| GitHub Action inclus | Échoue le CI en cas de risque élevé et télécharge automatiquement les résultats SARIF |
| Scanne plusieurs langages | Détecte l'utilisation d'API LLM en Python, Go, Rust, Java, C#, PHP, Ruby, Swift, Kotlin, Vue, Bash — pas seulement TypeScript/JavaScript |
| Filtrage des règles | excludeRules/includeRules avec syntaxe de glob préfixé (CMD-*) ; filtre minConfidence |
| Cache incrémental | .hound-cache.json ignore les fichiers inchangés lors des réexécutions ; --no-cache pour désactiver |
| Système de plugins | Charger des règles personnalisées depuis des fichiers .js locaux via "plugins": ["./my-rule.js"] dans la configuration |
| Mode baseline / diff | --baseline results.json — ne signaler et échouer que sur les résultats absents d'un scan précédent |
| Mode surveillance | --watch rescanner lors de modifications de fichiers et afficher les résultats delta |
| Scan parallèle | Traitement concurrent des fichiers (--concurrency <n>, défaut 8) |
| Totalement hors ligne | Aucun appel d'API, aucune télémétrie, aucune dépendance payante |
Installation globale — ajoute la commande hound à votre PATH :```bash
npm install -g context-hound
**Installation par projet** — limité à un dépôt, s'exécute via `npx hound` ou un script npm :```bash
npm install --save-dev context-hound
Zero-install — aucune installation nécessaire, utilise la copie en cache du registre npm :```bash npx context-hound scan --dir .
---
## Démarrage rapide```bash
# Scaffold a config file
hound init
# Scan your project
hound scan --dir ./my-ai-project
# Or via npm script (scans current directory)
npm run hound
# Verbose output, shows remediations and confidence levels
hound scan --verbose
# Fail the build on any critical finding
hound scan --fail-on critical
# Export JSON and SARIF reports
hound scan --format console,json,sarif --out results
# GitHub Annotations (for CI step summaries)
hound scan --format github-annotations
# Markdown report with findings tables
hound scan --format markdown --out report
# Stream findings as JSONL (one JSON object per line)
hound scan --format jsonl | jq '.severity'
# List all rules
hound scan --list-rules
# Explain a rule (or a rule family by prefix)
hound explain INJ-001
hound explain PST --format json
# Fast PR gate — scan only files changed vs. origin/main
hound scan --diff
# Interactive HTML report (self-contained, open in browser)
hound scan --format html --out report
# Re-scan on file changes
hound scan --watch
# Parallel scanning (default is 8; tune for your machine)
hound scan --concurrency 16
# Disable incremental cache for a clean run
hound scan --no-cache
# Baseline mode — only report findings new since the last saved scan
hound scan --format json --out baseline # save a baseline
hound scan --baseline baseline.json # compare future scans against it
# Load a custom rule from a local plugin file
hound scan # plugin declared in .contexthoundrc.json "plugins" field
# Only run high-confidence rules
hound scan --config .contexthoundrc.json # set minConfidence: "high"
# Fail if any single file scores >= 40
hound scan --fail-file-threshold 40
Codes de sortie :