<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/7654/dfb768a9b8e8fa64082992f11d0b284d5ec6a199fc1eac85e0352fb20452186f.gif" alt="重大度、信頼度、ファイルと行、修復、結果、およびカバレッジステータスを示すKeyHogスキャン" width="900" />
</p>

## GPUを中心に構築されたシークレットスキャナ

KeyHogは、いくつかの正規表現を汎用コンピュートシェーダーに渡すだけではありません。
GPUパスは、KeyHogと並行して開発されたRust GPUコンピュート基盤である[Vyre](https://github.com/santhreal/vyre)上に構築されています。検出トリガーは、イミュータブルなGPU常駐テーブルにコンパイルされます。制限付きソースバッチは、CPUおよびHyperscanルートで使用されるのと同じ確認、抑制、信頼度、レポートパイプラインに対して、完全なマッチ位置を生成します。

- **3つの物理GPUピア。** CUDA、ネイティブMetal、ポータブルWGPUは、それぞれ独立して取得、測定、報告されます。
- **完全な結果のパリティ。** キャリブレーションは、参照ルートと検出IDが異なる候補を拒否します。高速でも誤った答えがルーティングテーブルに入ることはありません。
- **永続的なルート証跡。** KeyHogは、バイナリ、検出器コーパス、構成、ワークロードクラス、ホスト、アクセラレータ、ドライバ、および測定されたタイミングの証跡を記録します。通常のスキャンでは、ホットパスでベンチマークを行いません。
- **常駐実行。** デーモンワーカーは、ファイル、アーカイブ、履歴、リモート、クラウドの各バッチを繰り返し処理するために、コンパイル済みの検出器とアクセラレータの状態をウォームに保ちます。
- **隠れたCPUエスケープハッチなし。** 明示的に選択されたアクセラレータが初期化またはディスパッチできない場合、GPUラベルの下でCPU検出結果を返すのではなく、可視的に失敗します。

デフォルトのcrates.ioインストールは、ポータブルな純Rust CPUルートを使用するため、クリーンなRustホストで動作します。Hyperscanを導入せずに3つのGPUピアを有効にできます：```sh
cargo install --locked keyhog --no-default-features --features portable,gpu

[バックエンドガイド](https://santhreal.github.io/keyhog/backends.html)には、常駐テーブル、境界付きディスパッチモデル、パリティ契約、再現可能なクロスオーバー証拠が記載されています。

## はじめに

### インストールして最初のスキャンを実行する

上記の2つのコマンドは、最新の crates.io リリースをインストールし、ポータブルな純Rustルートで現在のツリーをスキャンします。

CI環境を1つの正確なリリースに固定するには、`cargo install --locked --version '=0.5.75' keyhog` を使用します。KeyHog には Rust 1.89 以降が必要です。GPU、Hyperscan、CI、ポータブル、ソースビルドの各プロファイルについては、[インストールガイド](https://santhreal.github.io/keyhog/install.html) を参照してください。

KeyHog は、スキャンがクリーンな場合は終了コード `0` を返し、重大度の基準を超える検出結果を報告した場合は `1` を返します。終了コード `1` はスキャナーが正常に機能したことを意味します。各検出結果のファイル、行、検出器、および修復方法を確認してから、認証情報を削除、ローテーション、または抑制するかを決定してください。その他の非ゼロのコードは、入力、システム、検証、またはカバレッジの失敗を示します。[終了コードリファレンス](https://santhreal.github.io/keyhog/reference/exit-codes.html) を参照してください。

完全なプロセス契約は次のとおりです:

| 終了コード | 意味 |
|---|---|
| `0` clean | スキャンは、報告可能な検出結果やカバレッジ失敗なしに完了しました。 |
| `1` findings | 検出結果は存在しますが、ライブ確認されたものはありません。 |
| `2` operator error | 引数、設定、検出器コーパス、または操作者が修正可能な入力を修正してください。 |
| `3` system error | ランナーを修復するか再試行してください。これには、低レベルI/O、致命的なデーモンサービス、インクリメンタルキャッシュ、明示的に選択されたSIMDの失敗が含まれます。 |
| `4` `backend --self-test` or maintenance failure | 要求されたインストール、修復、バックエンド、またはオートルートのヘルスチェックが正常ではありませんでした。 |
| `10` live credentials | 少なくとも1つの認証情報がライブであると確認されました。`update --check` も、新しいリリースが存在する場合にこのコードを使用します。 |
| `11` scanner panic | スキャナー状態が信頼できないため、スキャン結果を破棄してください。 |
| `12` required GPU failure | 明示的に選択された、または必須のGPUパスを実行できませんでした。 |
| `13` incomplete coverage | 要求されたソースが失敗したか、入力カバレッジが不完全で、検出結果の結果が優先されませんでした。 |
| `130` interrupted | SIGINT または Ctrl-C によってプロセスが中断されました。 |

**フィルタ、フォーマット、ゲート:**

フィルタとして使用する前に、ベースラインを作成してください:```sh
keyhog scan . --create-baseline .keyhog-baseline.json
keyhog scan . --baseline .keyhog-baseline.json --format json-envelope --output keyhog.json

このActionは、チェックアウトされたツリーをスキャンし、`high` または `critical` の検出結果で失敗し、SARIF を Code Scanning にアップロードし、レポートをワークフローアーティファクトとして保持します。インストール、カバレッジ、バックエンド、レポート公開の失敗もジョブを失敗させます。

入力、出力、ベースライン採用、モノレポの分割、検証、失敗時の動作については、[GitHub Actionガイド](https://santhreal.github.io/keyhog/workflows/github-action.html) を参照してください。GitLab、CircleCI、Jenkins、Buildkite、および一般的なシェルジョブについては、[CIガイド](https://santhreal.github.io/keyhog/workflows/ci.html) を参照してください。リポジトリ組織、ホスト型Gitグループ、クラウドバケット、分割されたインベントリについては、[mass-scanningガイド](https://santhreal.github.io/keyhog/guides/mass-scanning.html) を参照してください。

## 他のツールが別製品として扱うスキャン対象

KeyHogは、追跡されたソースファイルだけでなく、漏洩する可能性のある境界のバイトをスキャンします。CIが正確なカバレッジと失敗状態を保持できるよう、境界ごとに1つのレポートを使用してください。

| 露出面 | 例 |
|---|---|
| 最終パッケージアーティファクト | `npm pack` を実行し、生成された `.tgz` を `keyhog scan package.tgz` でスキャンします。アーカイブ展開では、期待されるソースツリーに存在しない生成ファイル、ソースマップ、フィクスチャ、メタデータがチェックされます。 |
| デプロイされたブラウザアプリケーション | `keyhog scan --url https://app.example.com/assets/app.js` は、制限付きのJavaScript、ソースマップ、WASM、レスポンスデコードを追跡し、スキャナーを無制限のクローラーにはしません。 |
| GitHub issues、プルリクエスト、discussions、wikis、gists | `keyhog scan --github-collaboration owner/repo --github-all` は、チェックアウト外のすべてのコラボレーション面をスキャンします。 |
| AIエージェントおよびMCP構成 | `keyhog scan ~/.config ~/.claude ~/.codex` は、同じ検出器、デコード、信頼度、レポートパイプラインをローカルツール構成に適用します。 |
| コンテナイメージレイヤー | `keyhog scan --docker-image registry.example.com/team/app:v1` は、実行されるイメージコンテンツをスキャンします。ビルド中に導入されたファイルも含みます。 |
| クラウドオブジェクトインベントリ | `keyhog scan --s3-bucket BUCKET`、`--gcs-bucket BUCKET`、または `--azure-container-url URL` は、プロバイダーのページネーション、オブジェクト、バイト制限のカバレッジをターミナルレポートに保持します。 |
| 開発ホスト全体 | `sudo keyhog scan-system --space 50G` は、ハードなストレージ予算の下で、マウントされたファイルシステムと到達可能なGit履歴を検出します。 |

これらの経路は、単一の検出およびレポート契約を共有します。ソース固有の失敗が、暗黙的により狭いローカルスキャンに変わることはありません。

## 適切なワークフローの選択

最初にソース境界を選択してください。プリセットは検出作業を変更し、バックエンドは実行を変更します。どちらも、作業ツリースキャンをGit履歴、プロバイダーインベントリ、クラウドストレージ、またはホスト監査に拡張しません。

正直な `scan everything` ショートカットはありません。完全な資産レビューでは、以下の関連する境界を個別のジョブとして実行し、各 `json-envelope` レポートを生の終了コードとともに保持します。

| ニーズ | 開始方法 | スループットと再利用 | カバレッジ境界 |
|---|---|---|---|
| 素早いローカルフィードバック | `keyhog scan . --fast --incremental` | 変更されていないファイルのハッシュを再利用します。fastプリセットは、デコード、エントロピー、ML処理をスキップします。 | fastは意図的に範囲が狭いため、マージ前にデフォルトポリシーを実行してください。 |
| 完全なリポジトリースキャン | `keyhog scan .` | 調整済みの `auto` とCPUコアのワーカーがデフォルトです。同じ信頼済みツリーの繰り返しスキャンには `--incremental` を追加します。 | 現在のファイルのみ。Git履歴は追加されません。 |
| ステージングされたコミットゲート | `keyhog scan --git-staged` または `keyhog hook install` | 正確なインデックスブロブを読み取るため、ステージングされていない編集は結果を変更できません。 | ステージングされたコンテンツのみ。ローカルのステージングされていないバイトが重要な場合は、作業ツリースキャンを別途実行してください。 |
| 永続的なリポジトリガード | `keyhog guard add . --mode repo` を実行してから `keyhog guard status .` | 7状態マシン、クリーンな証明キャッシュ、ポリシーID追跡を備えたデーモン常駐のルートレジストリ。 | 実行中のデーモンが必要です。ガードはステージングおよび作業ツリースキャンを補完するものであり、置き換えるものではありません。 |
| GitHubプルリクエストゲート | `santhreal/keyhog@v0` | Actionがインストール、スキャン、SARIFとアーティファクトの公開を行い、KeyHogのステータスを保持します。 | チェックアウトされた1つのパス。組織の場合はプロバイダーインベントリスキャンを使用します。 |
| GitLab、Jenkins、Buildkite、またはシェルCI | `keyhog scan . --format json-envelope --output keyhog.json` | 成功、検出結果、エラーについて、レポートと終了コードを保持します。`--git-diff <base>` は、明示的により狭い変更行ゲートの場合にのみ使用します。 | チェックアウトに存在するバイト、または選択されたdiff。 |
| 既知の検出結果があるリポジトリを採用する | `.keyhog-baseline.json` を作成し、コミットしてから、`--baseline .keyhog-baseline.json` でスキャンします。 | 既存のIDはベースラインに表示されたままになり、新しい検出結果だけがゲートを失敗させます。 | ベースラインは、変更された資格情報や不完全なカバレッジを抑制しません。 |
| 再帰的Gitリカバリ | `keyhog scan --deep --git-history . --git-blobs . --daemon=off` | deepポリシーをワーカークラスごとに1回調整します。プロセス内で実行します。 | 1つのリポジトリ。`--git-history` は現在のチェックアウトの祖先のみを対象とするため、チェックアウトしたことのないブランチはカバレッジギャップなしで見落とされます。`--git-blobs` は、ダングリングブロブ、amendで消えたコミット、スタッシュ、ノート、注釈付きタグメッセージ、パックされた参照にも到達します。 |
| コンテナまたはアーカイブの検査 | `keyhog scan --docker-image registry/app:v1` または `keyhog scan incoming/` | スキップされた、壊れた、暗号化された、安全でない、またはサイズ超過のメンバーが表示されたままになるよう、エンベロープレポートを保持します。 | 選択したイメージまたはファイルシステムパスと、サポートされているネストされた形式のみ。 |
| URL、レスポンス、またはHARの検査 | `keyhog scan --url https://api.example.com/config` または `keyhog scan capture.har` | 制限付きのソース制限を使用し、ターミナルエンベロープを保持します。 | 取得したレスポンスまたはキャプチャエントリのみ。これはクローラーではありません。 |
| 組織またはクラウドインベントリ | `keyhog scan --daemon=off --github-org acme --format json-envelope --output acme.json` | プロバイダー、所有者、またはバケットごとに分割します。独立したパーティションを並行して実行し、それぞれ1つのレポートとステータスを維持します。 | ジョブごとに選択された1つのプロバイダーインベントリ。ページネーションまたはオブジェクト制限はカバレッジ境界のままです。 |
| 対象となる検出結果が実際に有効かどうかを確認する | `keyhog scan . --verify` | プロバイダーの並行性とレート制御は、スキャナーワーカーとは別です。 | 資格情報から導出されたリクエストを宣言されたプロバイダーエンドポイントに送信します。すべての検出器が検証に対応しているわけではありません。 |
| ホスト全体の健全性スキャン | `sudo keyhog scan-system --space 50G` | デフォルトですべてのCPUコアを使用し、ファイルシステムデータの後に検出されたGit履歴をスキャンします。 | ローカルのマウントされたファイルシステム。ネットワークマウントはオプトインであり、スペース上限はハードリミットです。 |
| Unix上のGPU対応ディレクトリ、履歴、アーカイブ、リモート、またはクラウドインベントリ | autorouteを調整し、`keyhog daemon start --mass` を開始してから、`keyhog scan --daemon=mass <SOURCE>` を実行します。 | 制限付きバッチを、コンパイルされた1つのCPU、Hyperscan、CUDA、Metal、またはWGPUワーカーにストリーミングします。ウォームな未変更ファイルシステムツリーには `--incremental` を追加します。ターミナルのレシートには、正確な合計およびGPUバッチ、チャンク、バイト、GPUシェア、スループットが報告されます。 | ベースライン、検証、ロックダウン、プリセット、オーバーレイ、その他のスキャナーポリシー変更は、取得前に拒否されます。インクリメンタル状態は、デーモンローカルのファイルシステムルートにのみ適用されます。 |

### サポートされているすべてのソース境界をスキャンする

境界ごとに1つのコマンドを使用します。各インベントリパーティションについて、`json-envelope` レポートと生の終了ステータスを保持してください。

| ソースまたはユースケース | コマンド |
|---|---|
| 複数のローカルルート | `keyhog scan services/api services/web deploy/` |
| 継続的に変更されるファイル | `keyhog watch services/api deploy/` |
| ステージングされたバイト、変更された行、到達可能な履歴、またはブロブ | `keyhog scan --git-staged`、`--git-diff main`、`--git-history .`、または `--git-blobs .` |
| ネイティブバイナリとファームウェア文字列 | `keyhog scan --binary firmware.bin`（通常のディレクトリスキャンはバイナリをスキップし、それでも `0` で終了します） |
| アーカイブと圧縮ソース | `keyhog scan incoming/`（サポートされているメンバーは自動的に展開されます） |
| Dockerイメージレイヤー | `keyhog scan --docker-image registry/app:v1` |
| JavaScript、ソースマップ、WASM、またはエンドポイントレスポンス | `keyhog scan --url https://api.example.com/config` |
| HTTPリクエストとレスポンスのキャプチャ | `keyhog scan capture.har` |
| GitHub issues、プルリクエスト、discussions、wikis、gists | `keyhog scan --github-collaboration owner/repo --github-all` |
| GitHub、GitLab、またはBitbucketインベントリ | `--github-org ORG`、`--gitlab-group GROUP`、または `--bitbucket-workspace WORKSPACE` |
| S3、GCS、またはAzure Blobインベントリ | `--s3-bucket BUCKET`、`--gcs-bucket BUCKET`、または `--azure-container-url URL` |
| 別のツールからの制限付きストリーム | `producer \| keyhog scan --stdin`（`set -o pipefail` を使用して、失敗したプロデューサーがゼロバイトのスキャンではなく自身のエラーを表面化させるようにします） |

通常のディレクトリスキャンはネイティブバイナリを読み取りません。それぞれが `binary (extension or content sniff)` のカバレッジギャップになり、スキャンはそれでも `0` で終了し、`--no-default-excludes` はそれを変更しないため、コンパイル済みアーティファクトが対象の場合は `--binary` を渡してください。このフラグには `binary` フィーチャーを含むビルドが必要であり、デフォルトのcrates.ioインストールには含まれますが、リーンな `ci` フィーチャーには含まれません。

ネイティブバイナリ抽出は、名前付き検出器の明示的な形状契約を満たす完全な資格情報を報告します。コンパイル済みデータセクションの短いプレフィックス断片や一般的な代入形状の文字列は、ソースコンテキストを保持しないため抑制されます。

エンドポイントフェッチは制限付きで、SSRFチェック済みです。これはクローラーではありません。プライベートクラウドエンドポイントと資格情報の転送には、明示的なトラストフラグが必要です。プロバイダートークンは、プロセス引数ではなく、文書化された環境変数に属します。

ソースとポリシーの詳細については[ワークフローチューザー](https://santhreal.github.io/keyhog/capabilities.html)、保守されたリポジトリゲートについては[GitHub Actionガイド](https://santhreal.github.io/keyhog/workflows/github-action.html)、永続的なレポートと終了処理については[直接CIガイド](https://santhreal.github.io/keyhog/workflows/ci.html)、分割と集約については[mass-scanningガイド](https://santhreal.github.io/keyhog/guides/mass-scanning.html) を参照してください。[レシピクックブック](https://santhreal.github.io/keyhog/recipes.html)は、コンテナ、アーカイブ、URL、GitHubコラボレーションコンテンツ、クラウドソースを対象としています。

### 推測を必要としない速度と並行性

デフォルトから始めてください。実績のある検証済みバイナリアセットインストーラーは、それ自体でキャリブレーションを実行します。Cargo は `cargo install` 後に KeyHog を実行できないため、マルチバックエンドの Cargo ビルドをインストールした後に一度、そしてホスト、バイナリ、検出器コーパス、ドライバー、またはワークロードクラスが変更された後に再度、以下のコマンドを実行してください:```sh
keyhog calibrate-autoroute --policy all
keyhog backend --autoroute --json

共有ランナーの場合、ジョブに4つのスキャナーワーカーと1つの
リーダーワーカーが割り当てられると：```sh
keyhog scan . --threads 4 --reader-threads 1 \
  --format json-envelope --output keyhog.json

未リリースの変更が必要な場合は、リポジトリのチェックアウトをビルドしてください:```sh
cargo install --path crates/cli --locked

Rustツールチェーンの要件、フィーチャープロファイル、プラットフォーム固有のランタイム依存関係については、[インストールガイド](https://santhreal.github.io/keyhog/install.html) を参照してください。

## 検出対象

926 個の組み込み検出器。各検出器は独自のオフライン検証とコンパニオンを備えています:

- **クラウドプロバイダー:** AWS (アクセスキー + シークレット + STS検証)、Azure (サブスクリプションキー、ストレージアカウントキー、SAS)、GCP (サービスアカウント、APIキー)、Cloudflare、Heroku、Vercel、Supabase。
- **決済プロセッサー:** Stripe、Braintree、Razorpay、Paddle、Plaid、Square、PayPal。検出器独自のチェックと、オプションまたは必須のコンパニオンを備えています。Razorpayのキーシークレットには、その近くにあるキーIDが必要です。
- **ソースフォージ:** GitHub PAT(CRC32チェックサム付き)、GitLabトークン、Bitbucketアプリパスワード、npmトークン(チェックサム付き)、Gitea / Forgejo / Codeberg。
- **認証 / SSO:** Okta、Auth0、Clerk、JumpCloud、Kinde。
- **コミュニケーション:** Slack、Discord、Twilio、SendGrid、Postmark、Mailgun、Resend、Loops。
- **AI / ML:** OpenAI (sk-/sk-proj-)、Anthropic、Google AI Studio、Cohere、Mistral、HuggingFace、Replicate。HuggingFace組織の資格情報には、現在の `hf_` 形式と従来の `api_org_` トークンの両方が含まれます。
- **パスワードマネージャー:** 1Passwordアカウントのシークレットキー(`A3-` の後に5〜6個のセグメント化された大文字英数字コンポーネントが続くもの)。
- **データベース:** Postgres接続文字列、MongoDB Atlas、Supabaseサービスロール、PlanetScale、Neon、Turso、MySQL、Redis URL。
- **汎用 + エントロピー検出:** `API_KEY=<high-entropy-blob>` は、名前付き検出器のない資格情報を捕捉します。コンテキストごとのエントロピーしきい値 + MLスコアリングでゲートされます。
- **暗号素材:** RSA / EC / SSH秘密鍵、PGP秘密ブロック、JWT署名シークレット。

各検出器は [TOMLファイル](https://github.com/santhreal/keyhog/blob/HEAD/detectors/)(データでありコードではありません)として提供されます。サービスメタデータ、正規表現パターン、キーワード、オフライン検証、エントロピーとMLポリシー、コンパニオンフィールド、検証ハンドラーが含まれます。新しい検出器の追加は、レビュー可能な単一のTOML変更です。[コントリビューターガイド](https://github.com/santhreal/keyhog/blob/HEAD/CONTRIBUTING.md) にその手順が記載されています。

`keyhog explain <id>` は任意の検出器の完全な仕様(パターン、キーワード、検証エンドポイント、さらにサービスに紐づくローテーションとステップバイステップの修復ガイド)を出力します。これにより、検出結果がブラックボックスになることはありません。

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/7654/0fc64959950abfa39c0ba81a1f5fbde3fe17a57169d2edca38cb0f248c834470.gif" alt="keyhog explain github-classic-pat: 検出器仕様のダンプ(パターン ghp_[A-Za-z0-9]{36}、キーワード、検証URL)、その後にGitHubのローテーションガイドとステップバイステップの修復手順" width="860" />
</p>

検出器の作成と検査については [検出器リファレンス](https://github.com/santhreal/keyhog/blob/HEAD/docs/src/detectors.md) を参照するか、インストール済みのコーパスを `keyhog detectors --search <term> --verbose` で検索してください。

## なぜ再現率が高く、誤検知が少ないのか

- **デコードスルースキャン:** Kubernetes `Secret` マニフェスト、Jupyterノートブック、JWTペイロード、base64でラップされた環境変数、Helmのvalues、docker-config の `auth:` ブロブを対象とします。構造化プリプロセッサは、均衡の取れたHelmアクションをレンダリング時の不活性な値として扱い、ファイル末尾の不足しているJupyterデリミタを閉じるため、リテラルバイトと完全なコードセルがカバーされ続けます。構造化された値をその場でデコードし、後続のすべての検出器に平文を渡します。検出器がそれぞれデコードを再実装する必要はありません。デコード有効スキャンは、回復に必要な素材がすべて埋め込まれている場合(厳密なCryptoJS/OpenSSLのソルト付きパスフレーズラッパーを含む)、副作用のないJavaScriptバイト配列XOR式やAES-256-CBC式も回復します。KeyHogがソースを実行することはありません。
- **複数行の再組み立て:** JavaScript での `"sk-proj-" + \` 継続、YAMLの複数行文字列、Makefileのバックスラッシュ継続、Helm / Jinjaテンプレート出力などを、正規表現マッチングの前にすべて再組み立てします。
- **コンパニオン検証:** 必須コンパニオンが高ノイズ検出器をゲートします。Twilio APIキーだけがありAPIシークレットがない場合はスキップされます。オプションのコンパニオンは信頼度または検証を強化します。AWSアクセスキー検出はシークレットを必須としませんが、ライブ検証にはシークレットが必要です。
- **検出器間の解決:** 検出器TOMLは、別の検出器からの境界付き検出結果を要求、拒否、または包含できます。解決は入力順に関係なく決定的であり、無効なターゲット、矛盾、依存関係の循環はコーパスコンパイルを失敗させます。
- **信頼度スコアリング:** すべての検出結果は、シャノンエントロピー、周囲のコンテキスト、コンパニオンマッチ、検出器が所有するオフライン証明(GitHub/npm CRC32とPyPIペイロードデコード)、構造的証拠、小さなML分類器(約30kパラメータ)から導出される `[0.0, 1.0]` のスコアを持ちます。デフォルトのしきい値 `0.40`(標準の `ScanConfig::default()` フロア。後述の `--min-confidence` デフォルトおよび `[scan].min_confidence` の例と同じ)は、実際のシークレットを隠すことなく低品質のマッチをフィルタリングします。
- **ベイズ型の検出器ごとのキャリブレーション:** `keyhog calibrate --fp generic-api-key` は Beta(α,β) の事後分布を書き出します。スキャンは `--calibration-cache` または `[system].calibration_cache` がそのファイルを指している場合にのみそれを使用します。これにより、信頼度チューニングはホストのキャッシュ状態に依存せず、明示的で再現可能になります。

## パフォーマンス

[`benchmarks/`](https://github.com/santhreal/keyhog/blob/HEAD/benchmarks/) にある再現可能なハーネスを使用して、KeyHog、Betterleaks、Kingfisher、Nosey Parker、TruffleHog、Titus を単一のスコアリング契約の下で比較します。ハーネスは、すべてのスキャンツリーから正解マニフェストを除外します。生成されたテーブルは、現在のスキーマの実行が存在するまで空のままです。測定後に `make -C benchmarks report` を実行してください。生成されたテーブルを手動で編集しないでください。

### 検出リーダーボード

<!-- BENCH:leaderboard:start -->
コーパス: **mirror** - 15000 フィクスチャ、3000 個のラベル付きポジティブ。すべてのスキャナは同一のスコアリング(SecretBenchオーバーラップルール)を受けました。回答キーのマニフェストはスキャンツリーから除外されています。

| 順位 | スキャナ | F1 | 適合率 | 再現率 | 検出件数 | ウォールタイム | ピークRSS |
|---|---|---|---|---|---|---|---|
| 1 | **KeyHog** | **0.9328** | 0.9651 | 0.9027 | 2816 | 1.05s | 416 MB |
| 2 | TruffleHog | 0.5294 | 1.0000 | 0.3600 | 1080 | 1.59s | 300 MB |
| 3 | Kingfisher | 0.4683 | 0.3877 | 0.5913 | 5255 | 4.81s | 402 MB |
| 4 | Titus | 0.4207 | 0.3381 | 0.5567 | 5151 | 2.86s | 115 MB |
| 5 | Nosey Parker | 0.4186 | 0.3511 | 0.5183 | 4529 | 0.82s | 285 MB |
| 6 | Betterleaks | 0.3498 | 0.2241 | 0.7970 | 11113 | 0.74s | 198 MB |
<!-- BENCH:leaderboard:end -->

### 結果の来歴

| スキャナ | スキャナバージョン / 実行ファイルダイジェスト | コーパスID | ホストID | 実行日 |
|---|---|---|---|---|
| KeyHog | version: KeyHog v0.5.70<br>Commit: d1eb2e09eb2c289181d93d719ce3f62411aeaf2c<br>Detector Set: 926 (926-4168e2c6c93a16ca)<br>Build Target: x86_64-linux<br>ML Model Version: moe-v1-246a05b92bec9aa3<br>ML Model Card: recorded 2026-07-15; features 55; synthetic F1 0.971 / P 0.945 / R 0.999; real F1 0.832 / P 0.753 / R 0.931 / [email protected] 0.938; zero-recall detectors 2/32; six-scanner differential unavailable<br>executable SHA-256: `2899ee53789bff9c531f72645f6c8380a7c873230dfb2b6857079467bc8d2dcd` | mirror; 15,000 fixtures; 3,000 labeled positives; 2,431,242 bytes | hostname SHA-256/12: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:39Z |
| TruffleHog | version: trufflehog 3.96.0<br>executable SHA-256: `6eb1f98fb890bf9361d8833c061e122dcb4f14fb7b71c65e603b7c096153c724` | mirror; 15,000 fixtures; 3,000 labeled positives; 2,431,242 bytes | hostname SHA-256/12: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:58Z |
| Kingfisher | version: kingfisher 1.94.0<br>executable SHA-256: `a49f8e9838d7f1da1e9f328a4dbc45a16996bce5078cde3ff1b8ad422d8ab07a` | mirror; 15,000 fixtures; 3,000 labeled positives; 2,431,242 bytes | hostname SHA-256/12: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:50Z |
| Titus | version: Titus v1.1.20 (Go port of NoseyParker)<br>executable SHA-256: `0b9c126a6c280ba28c6ed8795f88bf9bd793164c15959a34921f47a7ed276bcf` | mirror; 15,000 fixtures; 3,000 labeled positives; 2,431,242 bytes | hostname SHA-256/12: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:30:03Z |
| Nosey Parker | version: noseyparker 0.24.0 Build Configuration: Build Timestamp:    2025-05-08T21:11:15.600909923Z Commit Timestamp:   2025-05-08T17:04:47.000000000-04:00 Commit Branch:      HEAD Commit SHA:         61fa4ca67e4ded1b47b3b9ecce618ae91f1ff2fe Cargo Features:     color_backtrace,default,disable_trace,github,log,mimalloc,parquet,release Debug:              true Optimization:       3 Target Triple:      x86_64-unknown-linux-gnu Build System: OS:                 Ubuntu OS Version:         Linux (Ubuntu 22.04) CPU Vendor:         AuthenticAMD CPU Brand:          AMD EPYC 7763 64-Core Processor CPU Cores:          2 rustc Version:      1.86.0 rustc Channel:      stable rustc Host Triple:  x86_64-unknown-linux-gnu rustc Commit Date:  2025-03-31 rustc Commit SHA:   05f9846f893b09a1be1fc8560e33fc3c815cfecb rustc LLVM Version: 19.1<br>executable SHA-256: `42d6e88bf77904866a9dda49d7cf333501e76b62e9054b112e67f81dc88e2b71` | mirror; 15,000 fixtures; 3,000 labeled positives; 2,431,242 bytes | hostname SHA-256/12: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:53Z |
| Betterleaks | version: betterleaks version dev<br>executable SHA-256: `466f7d34e1ebcf12ecd5939494f509c17125e54416226976fced2f046da56ba4` | mirror; 15,000 fixtures; 3,000 labeled positives; 2,431,242 bytes | hostname SHA-256/12: `82fcd9288623`<br>Linux 6.17.0-19-generic<br>AMD Ryzen 9 9950X 16-Core Processor | 2026-08-11T01:29:43Z |
<!-- BENCH:leaderboard:end -->

### 速度とメモリ

<!-- BENCH:perf:start -->
| スキャナ | 設定 | コーパス | ウォールタイム | スループット | ピークRSS |
|---|---|---|---|---|---|
| Betterleaks | `default-nocache-nodaemon-no-validate` | mirror | 0.74s | 3.1 MB/s | 198 MB |
| Nosey Parker | `default-nocache-nodaemon-no-git-history` | mirror | 0.82s | 2.8 MB/s | 285 MB |
| KeyHog | `simd-nocache-nodaemon-full` | mirror | 1.05s | 2.2 MB/s | 416 MB |
| TruffleHog | `default-nocache-nodaemon-no-verify` | mirror | 1.59s | 1.5 MB/s | 300 MB |
| Titus | `default-nocache-nodaemon-no-validate` | mirror | 2.86s | 0.8 MB/s | 115 MB |
| Kingfisher | `default-nocache-nodaemon-low-no-validate` | mirror | 4.81s | 0.5 MB/s | 402 MB |
<!-- BENCH:perf:end -->

### カテゴリ別の再現率比較

<!-- BENCH:gaps:start -->
_診断用の再現率スライスのみ。全体的な適合率とF1が比較の契約であり、誤検知はスコアリングされたカテゴリでカウントされます。_

| カテゴリ | KeyHog P/R/F1 | KeyHog TP/FN | 最良の競合 P/R/F1 | 再現率ギャップ |
|---|---|---|---|---|
| `generic-high-entropy-string` | 1.000 / 0.434 / 0.606 | 73/95 | Betterleaks 1.000 / 0.798 / 0.887 | +0.363 |
<!-- BENCH:gaps:end -->

### 境界付き静的リカバリのテレメトリ

<!-- BENCH:recovery:start -->
選択された実行: スキャナ **KeyHog** `KeyHog v0.5.70<br>Commit: d1eb2e09eb2c289181d93d719ce3f62411aeaf2c<br>Detector Set: 926 (926-4168e2c6c93a16ca)<br>Build Target: x86_64-linux<br>ML Model Version: moe-v1-246a05b92bec9aa3<br>ML Model Card: recorded 2026-07-15; features 55; synthetic F1 0.971 / P 0.945 / R 0.999; real F1 0.832 / P 0.753 / R 0.931 / [email protected] 0.938; zero-recall detectors 2/32; six-scanner differential unavailable`; コーパス **mirror** (15,000 フィクスチャ、2,431,242 バイト); 生成日時 `2026-08-11T01:29:39Z`; 成果物 `mirror-keyhog-simd-nocache-nodaemon-full.json`。

テレメトリ スキーマ: `static-recovery-v1`。

| 処遇 | 正確な数 |
|---:|
| 対応 | 0 |
| 非対応 | 0 |
| エラー | 0 |

| 拒否理由 | 正確な数 |
|---:|
| _なし_ | 0 |
<!-- BENCH:recovery:end -->

### バイグラムBloomエビデンス

<!-- BENCH:bloom:start -->
エビデンススキーマ: `bloom-evidence-v1`。

| フィールド | 正確な結果 |
|---|---|
| コーパス | `samsung-creddata-fx-record-spans-v1` |
| コーパスリビジョン | `f1de3f85dbdf42bf7b3467c0d273a4dfe44d56ee` |
| コーパスSHA-256 | `4f2de506f334521121bb5b4aef8a37bf0b8153a4f9115e7ba9392d0eed1757b9` |
| フィクスチャSHA-256 | `a0ff018dc0a64b2cc78b25999043d1a441afa0087070f4cd8d73ae82408a59b4` |
| 実行ファイルSHA-256 | `2899ee53789bff9c531f72645f6c8380a7c873230dfb2b6857079467bc8d2dcd` |
| ワークスペース検出器コーパスSHA-256 | `d87e8b3d086e9ffa4c8a94f35a717ec710d5224e52e5b4fc7e71db30677609c9` |
| スキャナ検出器ダイジェスト | `8d789251e092959f` |
| 検出器コーパスSHA-256 | `3729bd72df768187420f37e08ab64cd2b5a8bac558002d8b0844f465e9a75711` |
| Bloom拒否 | **110/51794 (0.21%)**; 51684 受理 |
| 外部可用性 | 51794 測定; 51794 宣言中 0 が明示的に利用不可; 理由:  |
| 有効化 vs バイパスされた検出結果 | **同一**; 977/977 件 |
| 検出結果ID SHA-256 | `1517bad01ab5228e85b7f4fd44e72226aa3f195bc18a67d58b7a6364b6bf6e0e` / `1517bad01ab5228e85b7f4fd44e72226aa3f195bc18a67d58b7a6364b6bf6e0e` |
| Bloom密度/状態 | 1793/65536 スロット; `healthy`; 飽和点 39322 |
<!-- BENCH:bloom:end -->

検出結果IDは、検出器、ファイル、行、バイトスパン、資格情報のSHA-256を結び付けます。平文の資格情報が記録されることはありません。

再現手順: `make -C benchmarks canonical KEYHOG_BIN=/absolute/path/to/keyhog` を実行すると、実行ファイルに紐づくCredData Bloom差分を含む、KeyHog、Betterleaks、Kingfisher、Nosey Parker、TruffleHog、Titus の正確なmirror実行セットが再実行されます。`make -C benchmarks report` は上記のテーブルと `benchmarks/reports/` を再生成します。コーパス(mirror、競合のホームグラウンド、Samsung/CredData)とバックエンド/キャッシュ/デーモン/OS/GPUマトリクスについては [`benchmarks/README.md`](https://github.com/santhreal/keyhog/blob/HEAD/benchmarks/README.md) を参照してください。

## GPU対応の大規模デーモンワーカー

オプションのUnixマスデーモンは、コンパイル済みのスキャナ1つとそのキャリブレーション済みバックエンド状態をウォーム状態に保ちます。ローカルファイルシステムのスキャンは、正規のルートとソースポリシーのメタデータのみを送信します。デーモンは自身のプロセスでファイルを読み取り、バッチ処理します。クライアント側の資格情報を必要とするGit、バイナリ、リモート、クラウドソースは、保護された境界付きチャンクフレームを使用します。```sh
# Terminal 1
keyhog calibrate-autoroute --policy default
keyhog daemon start --mass

# Terminal 2, after the daemon prints its ready line
keyhog scan --daemon=mass /srv/inventory/team-a \
  --format json-envelope --output team-a.json
keyhog daemon stop

`scan-system` は制限付きローカルホスト監査であり、リポジトリまたは
クラウドのインベントリ分割の代替ではありません。パスではなく、スキャンする総バイト数によって
範囲を制限します。`--space` が上限であり、ネットワークマウントされたファイルシステムは
`--include-network` を渡さない限りスキップされます。実行前にマウント、ネットワークファイルシステム、
スペース上限、特権の動作を確認してください。
[システム全体のトリアージ](https://santhreal.github.io/keyhog/guides/system-wide-triage.html) を参照してください。

## 機密性の高いローカルスキャンのロックダウン

Linux `--lockdown` はフェイルクローズのプロセス保護モードです:```sh
keyhog scan . --daemon=off --lockdown

デフォルトのライブラリメソッドは、決定的でポータブルなCPU参照実装です。明示的なバックエンドメソッドは、プロセスを終了させたり、別のエンジンを静かに代替したりする代わりに、型付きエラーを返します。生のチャンクとマッチには平文が含まれる可能性があります。JSON、ログ、ディスク、ネットワーク境界を越える前に、`RawMatch::to_redacted` で変換するか、最終的な `VerifiedFinding` 値を使用してください。

[アーキテクチャガイド](https://github.com/santhreal/keyhog/blob/HEAD/docs/src/architecture.md) は、クレートの所有権、バックエンド契約、リカバリレシート、ソースヘルパー、および安全なレポート境界を定義します。クレートレベルのRustドキュメントが完全なAPIを所有します。

## 明示的な優先順位でポリシーを設定する

リポジトリポリシーは `.keyhog.toml` にあります:```toml
verify = false

[scan]
severity = "high"
incremental = true

[system]
gpu = "auto"

検出器定義は `detectors/` 配下のデータのままです。`keyhog-core` は
検出器とファインディングの型を担当し、`keyhog-scanner` はマッチングと実行
バックエンドを担当し、`keyhog-sources` は入力取得を担当し、`keyhog-verifier` はライブ
チェックを担当し、`keyhog-cli` はオペレーターワークフローを担当します。

まず [アーキテクチャガイド](https://github.com/santhreal/keyhog/blob/HEAD/docs/src/architecture.md) から始めてください。リポジトリの
マップ、依存関係の方向性、バイト列からファインディングへのパイプライン、ルーティングの所有権、および
プロファイリングのエントリーポイント。

## インストールの確認と拡張```sh
keyhog detectors --search aws --verbose
keyhog explain aws-access-key
keyhog backend --autoroute --json
keyhog completion zsh