vulnhawk

Scanner de sécurité de code alimenté par l'IA qui trouve les vulnérabilités que Semgrep et CodeQL manquent.

Démarrage rapide • Action GitHub • Comparaison • Langages • FAQ

Le problème

Les outils SAST traditionnels reposent sur la correspondance de motifs et les règles de l'AST. Ils excellent pour détecter les motifs de vulnérabilités connus, mais ils ne peuvent fondamentalement pas raisonner sur l'intention.

Si votre API a 20 points de terminaison et que 19 d'entre eux vérifient l'autorisation avant d'agir sur une ressource, Semgrep n'a aucun moyen de signaler celui qui ne le fait pas – car il n'y a aucun motif à faire correspondre. La vulnérabilité est l'absence d'un motif.

La solution

VulnHawk analyse le code avec l'IA et, pour chaque morceau de code examiné, il inclut le code connexe provenant d'autres endroits de votre codebase comme contexte. Cette étape d'enrichissement permet à l'IA de comparer comment des composants similaires gèrent la sécurité – et de repérer celui qui ne le fait pas.

Démarrage rapide

pip install vulnhawk

Choisissez un backend :

# Claude Code CLI – GRATUIT pour les abonnés (recommandé)
vulnhawk scan ./src -b claude-code

# Codex CLI – GRATUIT pour les abonnés ChatGPT Pro/Plus
vulnhawk scan ./src -b codex

# Claude API
export ANTHROPIC_API_KEY=sk-ant-...
vulnhawk scan ./src

# OpenAI API
vulnhawk scan ./src -b openai -m gpt-4o

# Ollama – gratuit, local, totalement privé
vulnhawk scan ./src -b ollama -m llama3.1

Pas de fichiers de configuration. Pas de règles à écrire. Pas de base de données à construire.

Les backends Claude Code et Codex sont gratuits pour les utilisateurs disposant d'abonnements existants. VulnHawk transmet les prompts via votre CLI locale, il n'y a donc aucun coût API supplémentaire.

VulnHawk vs autres outils SAST

_{*Gratuit avec Claude Code, Codex CLI ou Ollama. Les backends API coûtent environ 0,50 $ à 2,00 $ par analyse.}

Ce que VulnHawk trouve que les autres ne peuvent pas

Combinaison d'outils recommandée

VulnHawk est conçu comme une couche complémentaire, pas un remplacement :

Utilisation

Modes d'analyse

vulnhawk scan ./src                      # Analyse complète (par défaut)
vulnhawk scan ./src --mode auth          # Contournement d'authentification, vérifications manquantes, défauts de session
vulnhawk scan ./src --mode injection     # SQLi, injection de commandes, SSTI, XSS
vulnhawk scan ./src --mode secrets       # Clés, tokens, mots de passe codés en dur
vulnhawk scan ./src --mode config        # Mode débogage, CORS permissif, cookies non sécurisés
vulnhawk scan ./src --mode crypto        # Hachage faible, clés codées en dur, mauvais RNG

Formats de sortie

vulnhawk scan ./src -o json -f results.json        # JSON
vulnhawk scan ./src -o sarif -f results.sarif       # SARIF (Analyse de code GitHub)
vulnhawk scan ./src -o markdown -f report.md        # Rapport Markdown

Filtre de sévérité

vulnhawk scan ./src --severity high      # Critique + Élevé uniquement
vulnhawk scan ./src --severity info      # Tout

Entrée SARIF – chaîne avec d'autres outils

Alimentez la sortie de Semgrep, CodeQL ou de tout outil produisant du SARIF dans VulnHawk. Il utilise ces résultats comme contexte supplémentaire pour valider, étendre et enchaîner en vulnérabilités plus profondes.

# Exécutez d'abord Semgrep, puis enrichissez avec VulnHawk
semgrep --config auto ./src -o semgrep.sarif --sarif
vulnhawk scan ./src --sarif-input semgrep.sarif

Ce que cela permet :

• Valider si les résultats d'autres outils sont réels ou de faux positifs
• Découvrir des vulnérabilités connexes près des emplacements signalés
• Construire des chaînes d'attaque multi-étapes reliant les résultats entre les outils
• Vérifier si les corrections suggérées traitent la cause racine réelle

Exécution à blanc

vulnhawk info ./src    # Prévisualiser les fichiers, morceaux et répartition des langages

Action GitHub

VulnHawk s'exécute en tant qu'analyse de base sur votre branche par défaut et de manière incrémentielle sur chaque pull request.

Configuration recommandée

name: VulnHawk Security Scan
on:
  push:
    branches: [main, master]
  pull_request:

permissions:
  security-events: write
  contents: read

jobs:
  vulnhawk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: momenbasel/vulnhawk@main
        with:
          target: '.'
          backend: 'claude-code'
          claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          severity: 'medium'
          fail-on-findings: 'true'

Les résultats sont automatiquement téléchargés vers l'onglet Security > Code Scanning de GitHub via SARIF.

Options de backend

Chaînage avec Semgrep dans CI

steps:
  - uses: actions/checkout@v4

  - name: Semgrep (analyse rapide par motifs)
    uses: returntocorp/semgrep-action@v1
    with:
      config: auto
      generateSarif: true

  - name: VulnHawk (analyse IA profonde)
    uses: momenbasel/vulnhawk@main
    with:
      target: '.'
      backend: 'claude-code'
      claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
      sarif-input: 'semgrep.sarif'

Langages supportés

Comment ça fonctionne

Codebase ──> Discover ──> Chunk ──> Enrich ──> Analyze ──> Validate ──> Report
                │            │          │           │           │
           Respects      Functions  Related     LLM with    Dedup +
           .gitignore   Classes    code from   security    confidence
           .vulnhawk-   Routes     same dir +  prompts     scoring
           ignore       Modules    auth patterns

L'étape d'enrichissement est le différenciateur principal. Pour chaque morceau de code, VulnHawk inclut :

• D'autres fonctions/routes du même répertoire
• Les motifs de middleware d'auth et de garde de l'ensemble du codebase

Cela donne à l'IA le contexte nécessaire pour identifier les incohérences.

Configuration

.vulnhawkignore

Exclure des chemins de l'analyse (syntaxe gitignore) :

generated/
vendor/
third_party/
*.gen.go

Variables d'environnement

Coût

FAQ

Contribuer

Voir CONTRIBUTING.md.

git clone https://github.com/momenbasel/vulnhawk.git
cd vulnhawk
uv venv .venv && source .venv/bin/activate
uv pip install -e ".[dev]"
pytest

Soutenir le projet

Si VulnHawk vous est utile, envisagez de parrainer le projet pour soutenir le développement continu.

Services professionnels

VulnHawk est construit et maintenu par GreyCore Labs, une société de sécurité offensive constituée aux États-Unis. Vous voulez le même regard sur votre propre produit ?

• Tests d'intrusion – web, API, mobile, cloud. Devis fixe sous 24 heures, rapport échantillon expurgé sur demande.
• Scan gratuit de surface d'attaque externe – rapport d'une page en 48 heures, sans engagement.

Licence

VulnHawk est disponible en code source sous la Licence VulnHawk.

Gratuit pour tout le monde – les particuliers, les équipes, les startups et les entreprises peuvent utiliser VulnHawk sans frais pour l'analyse de sécurité interne, à condition qu'il soit installé à partir d'un canal de distribution officiel :

• GitHub Marketplace
• PyPI
• Ce dépôt

Vous ne pouvez pas vendre le logiciel, l'offrir comme service concurrent, ou redistribuer des forks comme produit. Les forks sont autorisés uniquement pour soumettre des pull requests vers ce dépôt. Voir LICENSE pour les conditions complètes.