静的コード分析 (SAST)

facebook/infer

Java、C、C++、Objective-C 用の静的解析ツール

semgrep/semgrep

軽量な静的解析、多言語対応。ソースコードのようなパターンでバグの亜種を見つけます。

github/codeql

CodeQL: 世界中のセキュリティ研究者を支えるライブラリとクエリ、そしてGitHub Advanced Securityにおけるコードスキャニングを実現するツールです。

phpstan/phpstan

PHP Static Analysis Tool - コードを実行せずにバグを発見！

sonarsource/sonarqube

コード品質と静的解析のプラットフォーム。品質ゲート、多言語スキャン、およびCI/CDワークフローにおける脆弱性や保守性の問題を検出するためのセキュリティ重視のルールを備えています。

bridgecrewio/checkov

ビルド時にTerraform、Kubernetes、CloudFormation、コンテナイメージ全体でクラウドの誤設定、脆弱性、シークレットを検出するインフラストラクチャ・アズ・コード向けの静的解析ツール。

openai/codex-security

OpenAI's Codex Security CLI and TypeScript SDK for finding, validating, and fixing security vulnerabilities. npm:…

pycqa/bandit

Banditは、Pythonコードにおける一般的なセキュリティ問題を見つけるために設計されたツールです。

securego/gosec

Go セキュリティチェッカー

pmd/pmd

拡張可能な多言語静的コード解析ツール。

zrax/pycdc

C++ による Python バイトコード逆アセンブラおよび逆コンパイラ

lirantal/awesome-nodejs-security

Node.jsのセキュリティツール、静的解析ツール、脆弱性スキャナー、教育リソース（OWASP Top 10、サプライチェーンセキュリティ、セキュアコーディングプラクティスを含む）の厳選されたディレクトリです。

awarexone/agentic-bug-hunter

AI-powered bug bounty hunting toolkit that works with or without subscription.

microsoft/applicationinspector

ソースコードアナライザー。JSONベースのルールエンジンを用いた静的解析により、「コードに何が含まれているか？」という質問に迅速に答えるための、関心のある特徴やその他の特性を表面化するために構築されています。使用前にコンポーネントをスキャンしたり、機能レベルの変更を検出するのに最適です。

gadievron/raptor

自律的なセキュリティ研究フレームワーク。静的解析、バイナリ解析、ファジング、LLMベースの脆弱性検証、エクスプロイト生成、パッチ作成を統合し、攻撃・防御運用に対応する。

stackrox/kube-linter

KubeLinterは、KubernetesのYAMLファイルとHelmチャートを検査し、それらで表現されたアプリケーションがベストプラクティスに準拠していることを確認する静的解析ツールです。