vulnhawk

Scanner di sicurezza del codice basato su IA che trova vulnerabilità che Semgrep e CodeQL non rilevano.

Avvio rapido • GitHub Action • Confronto • Linguaggi • FAQ

Il problema

Gli strumenti SAST tradizionali si basano sul pattern matching e su regole AST. Eccellono nell'individuare modelli di vulnerabilità noti, ma non sono in grado di ragionare sull'intento.

Se la tua API ha 20 endpoint e 19 di essi verificano l'autorizzazione prima di agire su una risorsa, Semgrep non ha modo di segnalare quello che non lo fa, perché non esiste un pattern da abbinare. La vulnerabilità è l'assenza di un pattern.

La soluzione

VulnHawk analizza il codice con l'IA e, per ogni pezzo di codice esaminato, include codice correlato da altre parti della tua codebase come contesto. Questo passaggio di arricchimento permette all'IA di confrontare come componenti simili gestiscono la sicurezza – e individuare quello che invece non lo fa.

Avvio rapido

pip install vulnhawk

Scegli un backend:

# Claude Code CLI - GRATUITO per abbonati (consigliato)
vulnhawk scan ./src -b claude-code

# Codex CLI - GRATUITO per abbonati ChatGPT Pro/Plus
vulnhawk scan ./src -b codex

# Claude API
export ANTHROPIC_API_KEY=sk-ant-...
vulnhawk scan ./src

# OpenAI API
vulnhawk scan ./src -b openai -m gpt-4o

# Ollama - gratuito, locale, completamente privato
vulnhawk scan ./src -b ollama -m llama3.1

Niente file di configurazione. Niente regole da scrivere. Niente database da costruire.

I backend Claude Code e Codex sono gratuiti per gli utenti con abbonamenti esistenti. VulnHawk invia i prompt attraverso la tua CLI locale, quindi non ci sono costi API aggiuntivi.

VulnHawk vs altri strumenti SAST

_{*Gratuito con Claude Code, Codex CLI o Ollama. I backend API costano circa $0.50-$2.00 per scansione.}

Cosa trova VulnHawk che altri non possono

Combinazione di strumenti consigliata

VulnHawk è progettato come livello complementare, non come sostituto:

Utilizzo

Modalità di scansione

vulnhawk scan ./src                      # Scansione completa (predefinita)
vulnhawk scan ./src --mode auth          # Bypass autenticazione, controlli mancanti, difetti di sessione
vulnhawk scan ./src --mode injection     # SQLi, injection comandi, SSTI, XSS
vulnhawk scan ./src --mode secrets       # Chiavi hardcoded, token, password
vulnhawk scan ./src --mode config        # Modalità debug, CORS permissivo, cookie non sicuri
vulnhawk scan ./src --mode crypto        # Hashing debole, chiavi hardcoded, RNG debole

Formati di output

vulnhawk scan ./src -o json -f results.json        # JSON
vulnhawk scan ./src -o sarif -f results.sarif       # SARIF (GitHub Code Scanning)
vulnhawk scan ./src -o markdown -f report.md        # Report Markdown

Filtro per gravità

vulnhawk scan ./src --severity high      # Solo Critici + Alti
vulnhawk scan ./src --severity info      # Tutto

Input SARIF – catena con altri strumenti

Alimenta VulnHawk con l'output di Semgrep, CodeQL o qualsiasi strumento che produce SARIF. Usa questi risultati come contesto aggiuntivo per validarli, espanderli e concatenarli in vulnerabilità più profonde.

# Esegui prima Semgrep, poi arricchisci con VulnHawk
semgrep --config auto ./src -o semgrep.sarif --sarif
vulnhawk scan ./src --sarif-input semgrep.sarif

Cosa permette:

• Valida se i risultati di altri strumenti sono reali o falsi positivi
• Scopre vulnerabilità correlate vicino alle posizioni segnalate
• Costruisce catene di attacco multi-step collegando risultati tra strumenti diversi
• Verifica che le correzioni suggerite affrontino la causa principale effettiva

Prova a secco

vulnhawk info ./src    # Anteprima file, chunk e ripartizione per linguaggio

GitHub Action

VulnHawk esegue una scansione di base sul tuo branch predefinito e in modo incrementale su ogni pull request.

Configurazione consigliata

name: VulnHawk Security Scan
on:
  push:
    branches: [main, master]
  pull_request:

permissions:
  security-events: write
  contents: read

jobs:
  vulnhawk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: momenbasel/vulnhawk@main
        with:
          target: '.'
          backend: 'claude-code'
          claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          severity: 'medium'
          fail-on-findings: 'true'

I risultati vengono caricati automaticamente nella scheda Sicurezza > Scansione codice di GitHub tramite SARIF.

Opzioni backend

Utilizzo in catena con Semgrep in CI

steps:
  - uses: actions/checkout@v4

  - name: Semgrep (scansione pattern veloce)
    uses: returntocorp/semgrep-action@v1
    with:
      config: auto
      generateSarif: true

  - name: VulnHawk (analisi IA profonda)
    uses: momenbasel/vulnhawk@main
    with:
      target: '.'
      backend: 'claude-code'
      claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
      sarif-input: 'semgrep.sarif'

Linguaggi supportati

Come funziona

Codebase ──> Scopri ──> Chunk ──> Arricchisci ──> Analizza ──> Valida ──> Report
                │           │          │             │            │
           Rispetta     Funzioni  Codice       LLM con    Dedup +
           .gitignore   Classi    correlato    prompt     punteggio
           .vulnhawk-   Route     dalla stessa di         confidenza
           ignore       Moduli    dir +        sicurezza
                                 pattern di
                                 autenticazione

Il passaggio di arricchimento è il differenziatore principale. Per ogni chunk di codice, VulnHawk include:

• Altre funzioni/route dalla stessa directory
• Middleware e pattern di guardia di autenticazione da tutta la codebase

Questo dà all'IA il contesto necessario per identificare le incoerenze.

Configurazione

.vulnhawkignore

Escludi percorsi dalla scansione (sintassi gitignore):

generated/
vendor/
third_party/
*.gen.go

Variabili d'ambiente

Costi

FAQ

Contribuire

Vedi CONTRIBUTING.md.

git clone https://github.com/momenbasel/vulnhawk.git
cd vulnhawk
uv venv .venv && source .venv/bin/activate
uv pip install -e ".[dev]"
pytest

Supporta il progetto

Se VulnHawk ti è utile, considera di sponsorizzare il progetto per supportare lo sviluppo continuo.

Servizi professionali

VulnHawk è costruito e mantenuto da GreyCore Labs, una società di sicurezza offensiva con sede negli Stati Uniti. Vuoi lo stesso occhio sul tuo prodotto?

• Penetration testing – web, API, mobile, cloud. Preventivo fisso entro 24 ore, report di esempio oscurato su richiesta.
• Scansione gratuita della superficie d'attacco esterna – report di una pagina in 48 ore, senza impegno.

Licenza

VulnHawk è source-available sotto la VulnHawk License.

Gratuito per tutti – individui, team, startup e aziende possono utilizzare VulnHawk senza costi per la scansione di sicurezza interna, a condizione che venga installato da un canale di distribuzione ufficiale:

• GitHub Marketplace
• PyPI
• Questo repository

Non è consentito vendere il Software, offrirlo come servizio concorrente o ridistribuire fork come prodotto. I fork sono consentiti esclusivamente per inviare pull request a questo repository. Vedi LICENSE per i termini completi.