静的コード分析 (SAST)

facebook/infer

Java、C、C++、Objective-C 用の静的解析ツール

semgrep/semgrep

軽量な静的解析、多言語対応。ソースコードのようなパターンでバグの亜種を見つけます。

github/codeql

CodeQL: 世界中のセキュリティ研究者を支えるライブラリとクエリ、そしてGitHub Advanced Securityにおけるコードスキャニングを実現するツールです。

phpstan/phpstan

PHP Static Analysis Tool - コードを実行せずにバグを発見！

sonarsource/sonarqube

コード品質と静的解析のプラットフォーム。品質ゲート、多言語スキャン、およびCI/CDワークフローにおける脆弱性や保守性の問題を検出するためのセキュリティ重視のルールを備えています。

bridgecrewio/checkov

ビルド時にTerraform、Kubernetes、CloudFormation、コンテナイメージ全体でクラウドの誤設定、脆弱性、シークレットを検出するインフラストラクチャ・アズ・コード向けの静的解析ツール。

openai/codex-security

セキュリティ脆弱性を発見、検証、修正するためのOpenAIのCodex Security CLIおよびTypeScript SDK。 npm: https://www.npmjs.com/package/@openai/codex-security

pycqa/bandit

Banditは、Pythonコードにおける一般的なセキュリティ問題を見つけるために設計されたツールです。

securego/gosec

Go セキュリティチェッカー

pmd/pmd

拡張可能な多言語静的コード解析ツール。

zrax/pycdc

C++ による Python バイトコード逆アセンブラおよび逆コンパイラ

awarexone/agentic-bug-hunter

AI-powered bug bounty hunting toolkit that works with or without subscription.

microsoft/applicationinspector

ソースコードアナライザー。JSONベースのルールエンジンを用いた静的解析により、「コードに何が含まれているか？」という質問に迅速に答えるための、関心のある特徴やその他の特性を表面化するために構築されています。使用前にコンポーネントをスキャンしたり、機能レベルの変更を検出するのに最適です。

lirantal/awesome-nodejs-security

Node.jsのセキュリティツール、静的解析ツール、脆弱性スキャナー、教育リソース（OWASP Top 10、サプライチェーンセキュリティ、セキュアコーディングプラクティスを含む）の厳選されたディレクトリです。

gadievron/raptor

Autonomous security research framework integrating static analysis, binary analysis, fuzzing, LLM-powered vulnerability validation, exploit…

semgrep/semgrep-rules

多数の言語にわたってセキュリティ脆弱性、危険なコードパターン、および設定の問題を検出するための静的解析ルールパック。CI/CDスキャンワークフローと統合します。