SYNAPTIC Sentinel

Il sentinella della sicurezza per il coding-vibe. Un toolkit di sicurezza agentivo con licenza Apache-2.0 per progetti in cui la maggior parte del codice è scritto da IA. Cinque scout deterministici individuano i problemi sintattici; un Livello Cervello (BYOK Anthropic) decide cosa conta davvero e come risolverlo — tutto all'interno dell'IDE.

SYNAPTIC Sentinel esegue audit di un progetto all'interno del perimetro del cliente — il tuo codice non lascia mai la tua macchina — e produce risultati inline per lo sviluppatore più un tomo di audit (pacchetto di evidenze) per conformità e CI.

Terzo prodotto della famiglia SYNAPTIC, fratello di SYNAPTIC Expert.

Stato

🚀 Live sul Visual Studio Marketplace — RealGoLab.synaptic-sentinel (v0.3.3, Apache-2.0).

🚧 Sviluppo attivo (pre-1.0). Operativo: il Livello Scout (5 scanner), il Coordinatore, i reporter (tomo JSON/HTML/SARIF), la CLI e l'estensione VSCode; il Livello Cervello con 3 agenti (Triage / Contesto / Remediation, BYOK multi-provider). Tutti i pacchetti sotto Apache-2.0 — nessun livello premium, nessuna porta proprietaria.

Installa in VSCode:

code --install-extension RealGoLab.synaptic-sentinel

Come funziona

• Livello Scout (deterministico, parallelo) — cinque auditor che vengono eseguiti come processi locali e normalizzano i loro risultati: OpenGrep (SAST, 17 regole curate con taint-flow), Gitleaks (segreti), Trivy (SCA), Checkov (IaC) e Vibe-Detect (anti-pattern specifici del codice generato da IA).
• Coordinatore — orchestra gli scout con un interruttore di arresto per scout, deduplica i risultati e li persiste in colony.db.
• Livello Cervello (LLM, BYOK Anthropic) — agenti che fanno triage, contestualizzano e propongono remediation per i risultati. La tua chiave API Anthropic va direttamente al modello; non esiste un backend Synaptic.
• Memoria dello sciame — i pattern che il Livello Cervello ha classificato con forti evidenze vengono pre-risolti nelle scansioni successive senza consumare un token LLM.
• Superfici — una CLI e un'estensione VSCode (superficie primaria).

Cosa lo rende la sentinella della sicurezza per il coding-vibe

• Scout Vibe-Detect — uno scout integrato dedicato agli anti-pattern specifici del codice generato da IA: API allucinate, flusso di controllo plausibile ma rotto, commenti leccapiedi, pattern di eval illimitato di input utente. TypeScript nativo, eseguito offline, nessun binario richiesto.
• Analisi del taint ottimizzata per codice assistito da LLM — request.* / req.* / sys.argv / os.environ seguiti fino a sink pericolosi (exec, innerHTML, cursor.execute, open), con i sanitizzatori che un progetto codificato da LLM userà effettivamente (DOMPurify, escapeHtml, secure_filename, os.path.basename).
• Triage guidato da LLM — quando uno scout scatta, il Livello Cervello decide se il risultato è un vero positivo in questo codebase, non solo un match di pattern da manuale. Tre agenti, tre prospettive: (vero / falso / inconcludente), (ingresso → propagazione → sink → esposizione), (correzione concreta + snippet di codice).

Struttura del monorepo

Requisiti

• Node.js ≥ 20
• pnpm ≥ 10

Avvio rapido

pnpm install              # installa le dipendenze e collega i workspace
pnpm scanners:install     # scarica i binari degli scanner OSS
pnpm build                # costruisci i pacchetti + bundle dell'estensione
node packages/cli/dist/index.js scan --path /path/to/your/project

Guida completa all'installazione e all'uso: ONBOARDING.md.

Sviluppo

pnpm build       # tsc -b (riferimenti progetto) + bundle estensione
pnpm test        # suite completa Vitest (unit + integrazione)
pnpm test:unit   # solo test unit (veloci)
pnpm lint        # ESLint (flat config + typescript-eslint)
pnpm typecheck   # controllo dei tipi
pnpm format      # Prettier
pnpm verify      # gate per ciclo: format:check + lint + build + test:unit

Privacy e flusso dei dati

• Il tuo codice non lascia mai la tua macchina per le scansioni deterministiche. I 5 scout vengono eseguiti localmente come processi figli.
• Per il Livello Cervello (opzionale), lo snippet di ogni risultato va direttamente ad Anthropic — nessun proxy, nessun intermediario, nessun backend Synaptic. BYOK.
• La memoria di audit (colony.db) risiede nella directory .sentinel/ del tuo repository (insieme a agents.yaml). Decidi tu se committarla. Repository precedenti alla v0.3.5: il legacy .synaptic-sentinel/colony.db viene ancora letto (doppia lettura, nessuna migrazione automatica per evitare perdita dati).

Documentazione

• ONBOARDING.md — installazione, uso CLI ed estensione
• docs/colony-db.md — il database dei feromoni
• .synaptic/DESIGN_DOC.md — log di progettazione e decisioni
• context/Synaptic_Sentinel_v0.4.md — documento di progettazione principale

Licenza

Tutti i pacchetti sono distribuiti con Licenza Apache 2.0 — vedi LICENSE.

© 2026 GoLab SpA.