---

これは何か

Pentheraは、あなたのアプリ、その依存関係、そしてAIコーディングツールを、あなた自身のマシン上でチェックします。可能なものは、あなたの承認のもとで修正します。すべての検出結果は、あなたが読めるルールから導かれ、その根拠が file:line で示されます。モデルは提案してもよいが、決定するのはルールです。

これはオープンなR&Dプロジェクトでもあります。私たちはすべてのチェックを公開の場で測定し、結果が良くても悪くても公表します。だからこそ、どこまで信頼できるかをあなた自身が判断できます。

見つけるのは既知の種類の問題であり、新規のものではありません。人間のペネトレーションテスターの代わりにはなりません。

30秒で始める

Node.js 22以降が必要です。インストール不要、アカウント不要。

Cursor、Claude Code、Codex、VS Code、Windsurf、Gemini CLI、Zed、JetBrains、Kiro、あるいはLovable、Bolt、Base44、Replit、v0といったアプリビルダーで開発していますか？ コーディングツールでのPenthera にそれぞれのセットアップ方法があります。

ターミナルで。 プロジェクトフォルダでこれを実行してください:

npx penthera

セットアップをオフラインで検出し、何をチェックするかを尋ね、領域ごとの評価と最初に修正すべき3つの項目を提示します。実行中のアプリをスキャンするのは、そのアプリが自分のものであることを確認した後だけです。何もコミットまたはプッシュされません（ガイド付きスタート）。

コーディングエージェント内で、スキルとして。 次に「scan my app for security issues」と尋ねてください：

npx skills add danoszz/penthera

コーディングエージェント内で、MCPサーバーとして。 Claude Code、Cursor、Codex、VS Code、Windsurf向けの6つの読み取り専用ツール。バージョンを固定してください:

claude mcp add penthera -- npx -y [email protected] mcp

Claude Code で、プラグインとして。 Claude Code のプロンプトから:

/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera

Gemini CLI では、拡張機能として。 gemini-extension.json で固定された MCP サーバーを実行し、これはリリース候補を含む最新リリースに追従します:

gemini extensions install https://github.com/danoszz/penthera

その他のクライアント: docs/commands/mcp.md。その他のスキルインストール ルート: docs/commands/skill.md。

コンテナで実行するには: docker build -t penthera . && docker run --rm penthera https://your-app.example。

公開ベンチマーク

Penthera は、他者が構築した公開データセット上で、同じ作業を行う無料の オープンソースツールと並べて、同じ方法で採点してテストしています。各データセットは 確認する前に半分に分割しました。一方の半分で Penthera を改善し、もう一方の封印された 半分で一度だけ採点しました。採点とランキングのルールはその実行前に 文書化しました（プロトコル）。

ベンチマーク	スコア	Penthera 1.9.0	Penthera 2.0.0	無料ツール内での順位	最高の他の無料ツール
漏洩したシークレット (Samsung CredData)	F1	0.18	0.74	10 中 2 位	deepsecrets 0.78
悪意のある npm パッケージ (DataDog)	検出数から誤検知を引いた値	0.57	0.71	6 中 1 位、1 位から 3 位の同率 ⁴	malcontent 0.63
悪意のある PyPI パッケージ (DataDog)	検出数から誤検知を引いた値	0.74	0.82	8 中 1 位、1 位から 3 位の同率 ⁴	GuardDog 0.74
JS ライブラリのインジェクション脆弱性 (SecBench.js)	正しいファイルで検出	0.16	0.70	8 中 1 位、1 位から 4 位の同率 ⁴	odgen 0.68

⁴ 同率の範囲は順位の区間です。各ツールのカウントを 10,000 回ブートストラップ再抽選したうち 95% において、Penthera の順位が収まった範囲です（SecBench.js では 64 個のテストバグについて）。Penthera 単独が 1 位となったのは、npm では再抽選の 76%、PyPI では 82%、SecBench.js では 60% でした。探索的：登録済みランキングの後に計算されました。

漏洩したシークレット：登録スコアである F1 では 2 位。適合率をより重視する F0.5 では 1 位（0.82 対 deepsecrets 0.80）。再現率をより重視する F2 では 2 位（0.68 対 deepsecrets 0.77）。

ランク付けされたツールの中には、ほとんど競争になっていないものもあります。0.10 未満のスコアの他のランク付けツール：CredData では 9 中 1（trufflehog）、npm では 5 中 3（clamav、yara、ossgadget）、PyPI では 7 中 4（clamav、ossgadget、bandit4mal、aura）、SecBench.js では 7 中 1（njsscan）。

1,000 パッケージ中 1 つが悪意のあるものだった場合、Penthera のマルウェアフラグのうち正しいものの割合：npm では、誤検知区間の上限で約 2.7%（そのサンプルでは誤検知を出しませんでした）。PyPI では、測定された誤検知率で約 1.6%、区間の上限で 0.9%。順位区間と同様に探索的です。

すべてのツール、すべての数値（95% 区間）

漏洩したシークレット (Samsung CredData)

順位	ツール	適合率	再現率	F1
1	deepsecrets 2.2.0	0.80 [0.79, 0.82]	0.77 [0.75, 0.78]	0.78
2	Penthera 2.0.0	0.89 [0.87, 0.90]	0.64 [0.62, 0.66]	0.74
3	noseyparker 0.24.0	0.76 [0.74, 0.78]	0.62 [0.60, 0.64]	0.69
4	gitleaks 8.30.1	0.85 [0.84, 0.86]	0.37 [0.35, 0.39]	0.52
5	ripsecrets 0.1.11	0.65 [0.64, 0.67]	0.35 [0.33, 0.37]	0.45
6	kingfisher 2.14.0	0.96 [0.94, 0.97]	0.29 [0.28, 0.31]	0.45
7	detect-secrets 1.5.0	0.30 [0.29, 0.31]	0.53 [0.51, 0.56]	0.38
8	secretlint 13.0.7	0.92 [0.89, 0.94]	0.19 [0.18, 0.21]	0.32
9	whispers 2.4.0	0.46 [0.43, 0.50]	0.09 [0.08, 0.10]	0.15
10	trufflehog 3.99.3	0.40 [0.35, 0.45]	0.05 [0.05, 0.07]	0.10
–	credsweeper 1.19.4 ¹	1.00 [1.00, 1.00]	0.98 [0.98, 0.99]	0.99
–	Penthera 1.9.0	0.56 [0.51, 0.60]	0.10 [0.09, 0.12]	0.18
	無料ツール、平均 / 中央値	0.68 / 0.76	0.36 / 0.35	0.43 / 0.45

悪意のある npm パッケージ (DataDog)