---

Cos'è

Penthera controlla la tua app, le sue dipendenze e i tuoi strumenti di coding AI sulla tua macchina. Corregge ciò che può, con la tua approvazione. Ogni risultato proviene da una regola che puoi leggere, con la sua evidenza a file:line. Un modello può proporre; una regola decide.

È anche un progetto di R&S aperto. Misuriamo ogni controllo in pubblico e pubblichiamo i risultati, buoni o cattivi, così puoi vedere quanto fidarti.

Trova classi note di problemi, non quelli nuovi. Non sostituisce un pentester umano.

Inizia in 30 secondi

Ti serve Node.js 22 o successivo. Nessuna installazione, nessun account.

Stai usando Cursor, Claude Code, Codex, VS Code, Windsurf, Gemini CLI, Zed, JetBrains o Kiro, oppure un app builder come Lovable, Bolt, Base44, Replit o v0? Penthera nel tuo strumento di coding ha la configurazione per ciascuno.

Nel tuo terminale. Esegui questo nella cartella del tuo progetto:

npx penthera

Rileva la tua configurazione offline, chiede cosa controllare e ti fornisce un punteggio per area e le tre cose da correggere per prime. Analizza la tua app in esecuzione solo dopo che confermi che l'app è tua. Nulla viene committato o pushato (avvio guidato).

Nel tuo agente di programmazione, come skill. Poi chiedi "analizza la mia app per problemi di sicurezza":

npx skills add danoszz/penthera

Nel tuo agente di coding, come server MCP. Sei strumenti di sola lettura per Claude Code, Cursor, Codex, VS Code e Windsurf. Fissa la versione:

claude mcp add penthera -- npx -y [email protected] mcp

In Claude Code, come plugin. Dal prompt di Claude Code:

/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera

In Gemini CLI, come estensione. Esegue il server MCP fissato in gemini-extension.json, che segue la release più recente, comprese le release candidate:

gemini extensions install https://github.com/danoszz/penthera

Altri client: docs/commands/mcp.md. Altre modalità di installazione delle skill: docs/commands/skill.md.

Per eseguirlo in un container: docker build -t penthera . && docker run --rm penthera https://your-app.example.

Benchmark pubblici

Testiamo Penthera su dataset pubblici creati da altri, a confronto con gli strumenti open-source gratuiti che svolgono lo stesso compito, valutati allo stesso modo. Ogni dataset è stato diviso a metà prima che lo esaminassimo: abbiamo migliorato Penthera su una metà e l'abbiamo valutato una sola volta sull'altra, la metà sigillata. Le regole di valutazione e classificazione sono state scritte prima di quella esecuzione (protocollo).

Benchmark	Punteggio	Penthera 1.9.0	Penthera 2.0.0	Posizione tra gli strumenti gratuiti	Miglior altro strumento gratuito
Segreti esposti (Samsung CredData)	F1	0.18	0.74	2° su 10	deepsecrets 0.78
Pacchetti npm malevoli (DataDog)	rilevati meno falsi allarmi	0.57	0.71	1° su 6, a pari merito dal 1° al 3° ⁴	malcontent 0.63
Pacchetti PyPI malevoli (DataDog)	rilevati meno falsi allarmi	0.74	0.82	1° su 8, a pari merito dal 1° al 3° ⁴	GuardDog 0.74
Bug di injection nelle librerie JS (SecBench.js)	trovati nel file corretto	0.16	0.70	1° su 8, a pari merito dal 1° al 4° ⁴	odgen 0.68

⁴ Un intervallo di parità è un intervallo di posizione: l'intervallo in cui è ricaduta la posizione di Penthera nel 95% di 10.000 ricampionamenti bootstrap dei conteggi di ciascuno strumento (su SecBench.js, dei suoi 64 bug di test). Penthera da sola è risultata prima nel 76% dei ricampionamenti su npm, nell'82% su PyPI e nel 60% su SecBench.js. Esplorativo: calcolato dopo la classificazione registrata.

Segreti esposti: 2° per F1, il punteggio registrato; 1° per F0.5, che pesa maggiormente la precisione (0.82 contro deepsecrets 0.80); 2° per F2, che pesa maggiormente il recall (0.68 contro deepsecrets 0.77).

Alcuni strumenti classificati sono a malapena in gara. Altri strumenti classificati con punteggio inferiore a 0.10: 1 su 9 su CredData (trufflehog); 3 su 5 su npm (clamav, yara, ossgadget); 4 su 7 su PyPI (clamav, ossgadget, bandit4mal, aura); 1 su 7 su SecBench.js (njsscan).