vulnhawk

AI を活用したコードセキュリティスキャナー。Semgrep や CodeQL が見逃す脆弱性を発見します。

クイックスタート • GitHub Action • 比較 • 対応言語 • FAQ

問題点

従来の SAST ツールはパターンマッチングと AST ルールに依存しています。既知の脆弱性パターンの検出には優れていますが、意図を推論することは基本的にできません。

API に 20 のエンドポイントがあり、そのうち 19 がリソース操作前に認可を確認している場合、Semgrep はその確認を行っていない 1 つを通知する方法がありません。マッチさせるパターンがないからです。脆弱性はパターンの 不在 なのです。

解決策

VulnHawk は AI でコードを分析し、検査するコードの断片ごとに、コードベースの他の場所にある関連コードをコンテキストとして含めます。この拡張ステップにより、AI は類似のコンポーネントがセキュリティをどのように処理するかを比較し、そうでないものを特定できます。

クイックスタート

pip install vulnhawk

バックエンドを選択します:

# Claude Code CLI - サブスクライバーは無料 (推奨)
vulnhawk scan ./src -b claude-code

# Codex CLI - ChatGPT Pro/Plus サブスクライバーは無料
vulnhawk scan ./src -b codex

# Claude API
export ANTHROPIC_API_KEY=sk-ant-...
vulnhawk scan ./src

# OpenAI API
vulnhawk scan ./src -b openai -m gpt-4o

# Ollama - 無料、ローカル、完全プライベート
vulnhawk scan ./src -b ollama -m llama3.1

設定ファイルは不要。ルールを書く必要もなし。データベースの構築も不要。

Claude Code および Codex バックエンドは無料です（既存のサブスクリプションをお持ちの方）。VulnHawk はプロンプトをローカル CLI 経由でパイプするため、追加の API コストは発生しません。

VulnHawk と他の SAST ツールの比較

_{*Claude Code、Codex CLI、または Ollama で無料。API バックエンドはスキャンあたり約 $0.50～$2.00 です。}

VulnHawk が他では見つけられないもの

推奨ツールの組み合わせ

VulnHawk は補完的なレイヤーとして設計されており、置き換えではありません:

使用方法

スキャンモード

vulnhawk scan ./src                      # フルスキャン (デフォルト)
vulnhawk scan ./src --mode auth          # 認証バイパス、チェックの欠落、セッションの欠陥
vulnhawk scan ./src --mode injection     # SQLi、コマンドインジェクション、SSTI、XSS
vulnhawk scan ./src --mode secrets       # ハードコードされたキー、トークン、パスワード
vulnhawk scan ./src --mode config        # デバッグモード、緩いCORS、安全でないクッキー
vulnhawk scan ./src --mode crypto        # 弱いハッシュ、ハードコードされたキー、悪い乱数生成

出力形式

vulnhawk scan ./src -o json -f results.json        # JSON
vulnhawk scan ./src -o sarif -f results.sarif       # SARIF (GitHub Code Scanning)
vulnhawk scan ./src -o markdown -f report.md        # Markdown レポート

重要度フィルター

vulnhawk scan ./src --severity high      # Critical + High のみ
vulnhawk scan ./src --severity info      # すべて

SARIF 入力 – 他のツールとの連鎖

Semgrep、CodeQL、または SARIF を生成するツールの出力を VulnHawk に渡します。VulnHawk はそれらの発見を追加コンテキストとして使用し、検証、拡張、連鎖させてより深い脆弱性にします。

# 最初に Semgrep を実行し、次に VulnHawk で拡張
semgrep --config auto ./src -o semgrep.sarif --sarif
vulnhawk scan ./src --sarif-input semgrep.sarif

これにより可能になること:

• 他のツールの発見が実際の脆弱性か誤検出かを検証
• フラグが立てられた場所の近くで関連する脆弱性を発見
• ツール間の発見を接続する多段攻撃チェーンを構築
• 提案された修正が実際の根本原因に対処しているかを確認

ドライラン

vulnhawk info ./src    # ファイル、チャンク、言語の内訳をプレビュー

GitHub Action

VulnHawk はデフォルトブランチではベースラインスキャンとして、プルリクエストではインクリメンタルに実行されます。

推奨設定

name: VulnHawk Security Scan
on:
  push:
    branches: [main, master]
  pull_request:

permissions:
  security-events: write
  contents: read

jobs:
  vulnhawk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: momenbasel/vulnhawk@main
        with:
          target: '.'
          backend: 'claude-code'
          claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          severity: 'medium'
          fail-on-findings: 'true'

発見結果は SARIF を介して GitHub の Security > Code Scanning タブに自動的にアップロードされます。

バックエンドオプション

backend: 'claude-code'
claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}

backend: 'codex'

api-key: ${{ secrets.ANTHROPIC_API_KEY }}

backend: 'openai'
api-key: ${{ secrets.OPENAI_API_KEY }}

CI での Semgrep との連鎖

steps:
  - uses: actions/checkout@v4

  - name: Semgrep (高速パターンスキャン)
    uses: returntocorp/semgrep-action@v1
    with:
      config: auto
      generateSarif: true

  - name: VulnHawk (深い AI 分析)
    uses: momenbasel/vulnhawk@main
    with:
      target: '.'
      backend: 'claude-code'
      claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
      sarif-input: 'semgrep.sarif'

対応言語

仕組み

コードベース ──> 探索 ──> チャンク化 ──> 拡張 ──> 分析 ──> 検証 ──> レポート
                │            │          │           │           │
           .gitignore を 関数     関連コード   セキュリティ  重複除去 +
           尊重        クラス    (同じディレ  プロンプト    信頼度
           .vulnhawk- ルート    クトリ + 認 を持つ LLM    スコアリング
           ignore     モジュール 可パターン)

拡張ステップが主要な差別化要因です。各コードチャンクに対して、VulnHawk は以下を含めます:

• 同じディレクトリ内の他の関数/ルート
• コードベース全体からの認証ミドルウェアとガードパターン

これにより、AI は不整合を特定するために必要なコンテキストを得られます。

設定

.vulnhawkignore

スキャンからパスを除外します（gitignore 構文）: