---

무엇인가

Penthera는 여러분의 앱, 그 의존성, 그리고 AI 코딩 도구를 여러분의 머신에서 점검합니다. 승인을 받으면 고칠 수 있는 것은 고칩니다. 모든 발견 사항은 읽을 수 있는 규칙에서 나오며, file:line에 증거가 있습니다. 모델은 제안할 수 있지만, 결정은 규칙이 합니다.

또한 공개 R&D 프로젝트이기도 합니다. 우리는 모든 점검을 공개적으로 측정하고, 좋든 나쁘든 결과를 게시하여 여러분이 얼마나 신뢰할 수 있는지 볼 수 있게 합니다.

알려진 부류의 문제를 찾으며, 새로운 문제는 찾지 않습니다. 사람 펜테스터를 대체하지 않습니다.

30초 만에 시작하기

Node.js 22 이상이 필요합니다. 설치도, 계정도 필요 없습니다.

Cursor, Claude Code, Codex, VS Code, Windsurf, Gemini CLI, Zed, JetBrains 또는 Kiro로 빌드 중이거나, Lovable, Bolt, Base44, Replit, v0 같은 앱 빌더를 사용 중이신가요? 코딩 도구에서의 Penthera에 각 도구의 설정 방법이 있습니다.

터미널에서. 프로젝트 폴더에서 다음을 실행하세요:

npx penthera

오프라인으로 설정을 감지하고, 무엇을 점검할지 물어본 뒤, 영역별 등급과 가장 먼저 고쳐야 할 세 가지를 알려줍니다. 실행 중인 앱은 해당 앱이 본인 소유임을 확인한 뒤에만 스캔합니다. 어떤 것도 커밋되거나 푸시되지 않습니다 (가이드 시작).

코딩 에이전트에서 스킬로 사용하기. 그런 다음 "내 앱의 보안 문제를 스캔해줘"라고 요청하세요:

npx skills add danoszz/penthera

코딩 에이전트에서 MCP 서버로 사용하기. Claude Code, Cursor, Codex, VS Code, Windsurf를 위한 6개의 읽기 전용 도구입니다. 버전을 고정하세요:

claude mcp add penthera -- npx -y [email protected] mcp

Claude Code에서 플러그인으로. Claude Code의 프롬프트에서:

/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera

Gemini CLI에서 확장 기능으로. 이는 gemini-extension.json에 고정된 MCP 서버를 실행하며, 이 서버는 릴리스 후보를 포함한 최신 릴리스를 따릅니다:

gemini extensions install https://github.com/danoszz/penthera

기타 클라이언트: docs/commands/mcp.md. 기타 스킬 설치 경로: docs/commands/skill.md.

컨테이너에서 실행하려면: docker build -t penthera . && docker run --rm penthera https://your-app.example.

공개 벤치마크

우리는 Penthera를 다른 사람들이 구축한 공개 데이터셋에서 테스트하며, 같은 작업을 수행하는 무료 오픈소스 도구들과 나란히 동일한 방식으로 채점합니다. 각 데이터셋은 우리가 살펴보기 전에 절반으로 나뉘었습니다. 우리는 한쪽 절반에서 Penthera를 개선하고, 다른 봉인된 절반에서 한 번만 채점했습니다. 채점과 순위 산정 규칙은 그 실행 전에 문서로 작성되었습니다(프로토콜).

벤치마크	점수	Penthera 1.9.0	Penthera 2.0.0	무료 도구 중 순위	최고의 다른 무료 도구
유출된 시크릿 (Samsung CredData)	F1	0.18	0.74	10개 중 2위	deepsecrets 0.78
악성 npm 패키지 (DataDog)	적발 수 빼기 오탐 수	0.57	0.71	6개 중 1위, 1~3위 동률 ⁴	malcontent 0.63
악성 PyPI 패키지 (DataDog)	적발 수 빼기 오탐 수	0.74	0.82	8개 중 1위, 1~3위 동률 ⁴	GuardDog 0.74
JS 라이브러리의 인젝션 버그 (SecBench.js)	올바른 파일에서 발견	0.16	0.70	8개 중 1위, 1~4위 동률 ⁴	odgen 0.68

⁴ 동률 범위는 순위 구간입니다. 각 도구의 집계를 10,000회 부트스트랩 재추출했을 때 95%의 경우에서 Penthera의 순위가 속한 범위입니다(SecBench.js의 경우 64개 테스트 버그 기준). Penthera만이 npm에서 재추출의 76%, PyPI에서 82%, SecBench.js에서 60%의 경우 1위로 나왔습니다. 탐색적 분석: 등록된 순위 산정 이후에 계산되었습니다.

유출된 시크릿: 등록된 점수인 F1 기준 2위, 정밀도를 더 중시하는 F0.5 기준 1위(0.82 대 deepsecrets 0.80), 재현율을 더 중시하는 F2 기준 2위(0.68 대 deepsecrets 0.77).

일부 순위 도구는 경쟁에 거의 참여하지 않았습니다. 0.10 미만을 기록한 다른 순위 도구: CredData에서 9개 중 1개(trufflehog), npm에서 5개 중 3개(clamav, yara, ossgadget), PyPI에서 7개 중 4개(clamav, ossgadget, bandit4mal, aura), SecBench.js에서 7개 중 1개(njsscan).

1,000개 중 1개 패키지가 악성이라면, Penthera의 악성코드 플래그 중 올바른 비율: npm은 오탐 구간 상단에서 약 2.7%(해당 샘플에서는 오탐이 발생하지 않았음), PyPI는 측정된 오탐률에서 약 1.6%, 구간 상단에서 0.9%. 순위 구간과 마찬가지로 탐색적 분석입니다.

모든 도구, 모든 수치 (95% 구간)

유출된 시크릿 (Samsung CredData)

순위	도구	정밀도	재현율	F1
1	deepsecrets 2.2.0	0.80 [0.79, 0.82]	0.77 [0.75, 0.78]	0.78
2	Penthera 2.0.0	0.89 [0.87, 0.90]	0.64 [0.62, 0.66]	0.74
3	noseyparker 0.24.0	0.76 [0.74, 0.78]	0.62 [0.60, 0.64]	0.69
4	gitleaks 8.30.1	0.85 [0.84, 0.86]	0.37 [0.35, 0.39]	0.52
5	ripsecrets 0.1.11	0.65 [0.64, 0.67]	0.35 [0.33, 0.37]	0.45
6	kingfisher 2.14.0	0.96 [0.94, 0.97]	0.29 [0.28, 0.31]	0.45
7	detect-secrets 1.5.0	0.30 [0.29, 0.31]	0.53 [0.51, 0.56]	0.38
8	secretlint 13.0.7	0.92 [0.89, 0.94]	0.19 [0.18, 0.21]	0.32
9	whispers 2.4.0	0.46 [0.43, 0.50]	0.09 [0.08, 0.10]	0.15
10	trufflehog 3.99.3	0.40 [0.35, 0.45]	0.05 [0.05, 0.07]	0.10
–	credsweeper 1.19.4 ¹	1.00 [1.00, 1.00]	0.98 [0.98, 0.99]	0.99
–	Penthera 1.9.0	0.56 [0.51, 0.60]	0.10 [0.09, 0.12]	0.18
	무료 도구, 평균 / 중앙값	0.68 / 0.76	0.36 / 0.35	0.43 / 0.45

악성 npm 패키지 (DataDog)