# 대화형 REPL: 한 세션에서 스캔, 수정, 질문
npx ship-safe

# 전체 감사: 비밀 정보 + 29개 에이전트 + 의존성 + 수정 계획
npx ship-safe audit .

# 에이전트가 읽을 수 있는 콘텐츠에 대한 AI 에이전트 레드팀 시나리오
npx ship-safe red-team . --gpt-red

# 대화형 수정 에이전트: 계획, diff, 승인, 검증
npx ship-safe agent .
npx ship-safe agent . --severity critical   # critical 심각도 결과만
npx ship-safe agent . --branch --pr         # 브랜치에서 수정 + PR 열기

# 마지막 수정 실행 취소
npx ship-safe undo

# CI/CD 모드 — critical 심각도 발견 시 실패
npx ship-safe ci . --sarif results.sarif
npx ship-safe ci . --fail-on high          # 더 엄격: critical 또는 high

영역	예시
AI 및 LLM 보안	프롬프트 인젝션, 에이전트 하이재킹, 과도한 권한, 메모리 오염, RAG 오염, 안전하지 않은 도구 호출
MCP 및 에이전트 구성	과도한 도구 권한, 오염된 레지스트리, 신뢰할 수 없는 전송, 위험한 허용 목록
애플리케이션 보안	SQL/NoSQL 인젝션, XSS, SSRF, 인증 우회, 경로 탐색, 안전하지 않은 API 라우트
비밀 정보 및 규정 준수	API 키, 토큰, 자격 증명, PII, git 히스토리에 유출된 비밀 정보
공급망	타이포스쿼팅, 의존성 혼동, 위험한 설치 스크립트, 고정되지 않은 AI 액션
CI/CD	파이프라인 오염, 고정되지 않은 GitHub Actions, 비밀 정보 로깅, 안전하지 않은 워크플로 트리거

에이전트	카테고리	감지 항목
InjectionTester	코드 취약점	SQL/NoSQL 인젝션, 명령 인젝션, XSS, 경로 탐색, XXE, ReDoS, 프로토타입 오염
AuthBypassAgent	인증	JWT 결함 (alg:none, 약한 비밀 키), CSRF, OAuth 잘못된 구성, BOLA/IDOR, TLS 우회
SSRFProber	SSRF	fetch/axios의 사용자 입력, 클라우드 메타데이터 엔드포인트, 내부 IP
SupplyChainAudit	공급망	타이포스쿼팅, 와일드카드 버전, 의심스러운 설치 스크립트, 의존성 혼동
ConfigAuditor	구성	Docker (root 사용자, :latest), Terraform, Kubernetes, CORS, CSP, Firebase, Nginx
SupabaseRLSAgent	인증	클라이언트 코드의 service_role 키, RLS 없는 테이블, anon 키 삽입
LLMRedTeam	AI/LLM	OWASP LLM Top 10: 프롬프트 인젝션, 과도한 권한, 시스템 프롬프트 유출
MCPSecurityAgent	AI/LLM	MCP 서버 오용, 도구 오염, 타이포스쿼팅, 검증되지 않은 입력
AgenticSecurityAgent	AI/LLM	OWASP Agentic AI Top 10: 에이전트 하이재킹, 권한 상승, Kimi K3/OpenAI 호환 도구 호출 오용
RAGSecurityAgent	AI/LLM	컨텍스트 인젝션, 문서 오염, 벡터 DB 접근 제어
MemoryPoisoningAgent	AI/LLM	에이전트 메모리 파일의 명령 인젝션, 숨겨진 유니코드 페이로드 (ASI-01, ASI-05)
PIIComplianceAgent	규정 준수	소스 코드의 SSN, 신용카드, 이메일, 전화번호
VibeCodingAgent	코드 취약점	AI 생성 코드 안티패턴: 검증 없음, 빈 catch, TODO-인증
ExceptionHandlerAgent	코드 취약점	빈 catch, 처리되지 않은 거부, 유출된 스택 트레이스 (OWASP A10:2025)
AgentConfigScanner	AI/LLM	.cursorrules, CLAUDE.md의 프롬프트 인젝션, 악성 Claude Code 훅
MobileScanner	모바일	OWASP Mobile Top 10 2024: 안전하지 않은 저장소, WebView 인젝션, 디버그 모드
GitHistoryScanner	비밀 정보	git 커밋 히스토리의 유출된 비밀 정보
CICDScanner	CI/CD	파이프라인 오염, 고정되지 않은 액션, 비밀 정보 로깅 (OWASP CI/CD Top 10)
APIFuzzer	API	인증 없는 라우트, 대량 할당, GraphQL 인트로스펙션, 디버그 엔드포인트

$ ship-safe

  ███████╗██╗  ██╗██╗██████╗     ███████╗ █████╗ ███████╗███████╗
  ...

  v9.4.1  ·  DeepSeek  ·  ~/my-project

  /scan으로 문제 찾기  ·  /agent로 수정하기  ·  /help로 더 보기

shipsafe ›

명령	기능
`/scan`	프로젝트 다시 스캔
`/agent`	대화형 수정 루프 실행
`/findings`	마지막 스캔의 결과 목록
`/show <n>`	결과 n의 전체 세부 정보
`/plan <n>`	결과 n의 수정 계획 미리보기 (쓰기 없음)
`/undo [--all]`	마지막 수정 실행 취소 (또는 모든 수정)
`/share`	스캔 보고서를 공개 URL로 게시 (7일)
`/diff`	git 작업 트리 diff 표시
`/provider <name>`	세션 중 LLM 공급자 전환
`/quit`	종료 (`Ctrl-D` 또는 `Ctrl-C`도 가능)

# .github/workflows/security.yml
name: Security Audit
on: [push, pull_request]
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Security gate
        run: npx ship-safe ci . --sarif results.sarif
      - uses: github/codeql-action/upload-sarif@v3
        if: always()
        with:
          sarif_file: results.sarif

name: Ship Safe
on:
  pull_request:

permissions:
  contents: read
  pull-requests: write
  security-events: write

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: asamassekou10/[email protected]
        with:
          fail-on: high
          inline: true

필요 사항	사용
로컬 스캔, 감사, 에이전트 지원 수정	무료 CLI
스캔 기록, 클라우드 대시보드, PDF 보고서	Pro
공유 작업 공간, PR Guardian, 팀 보고서, 협업	Team

프로젝트	결과	critical	등급
express	26	0	C
requests	15	1	C
flask	28	0	D
chalk	4	0	B

인기

ship-safe

Ship Safe CLI

빠른 시작

Ship Safe가 발견하는 것

작동 방식

개발자가 사용하는 이유

무료 CLI, 유료 팀 워크플로

보안 에이전트

REPL

CI/CD

인라인 PR 결과가 포함된 GitHub Action

LLM 지원

오탐 억제

얼마나 시끄러운가요?

Semgrep, Gitleaks, Trivy, CodeQL과 어떻게 비교되나요?

배지 추가

다음 단계

기여하기

스폰서

스타 히스토리