CanoP CLI

AI가 생성한 코드에서 보안 위험을 찾아내기 위한 빠르고 독립적인 정적 분석 도구입니다. CanoP는 로컬에서 실행되며, 조치 방안과 함께 실행 가능한 결과를 제공합니다.

CanoP 실제 동작 보기

CanoP가 프로젝트를 스캔하는 모습

fixes.json 출력 예시

기능

높은 신호 대 잡음 비율: SQL 인젝션, 안전하지 않은 리플렉션, 하드코딩된 시크릿 등 AI 시대의 위험을 겨냥합니다.
언어 지원: Python과 JavaScript를 지원합니다.
CI/CD 지원: 심각도 또는 보안 점수를 기준으로 빌드를 차단할 수 있습니다.
AI 처방: LLM 기반 조치를 위한 fixes.json 프롬프트를 생성합니다.
표준 보고: GitHub 및 기타 보안 도구용으로 JSON과 SARIF를 내보냅니다.

설치

pip install canop

macOS와 Linux에서 전역 pip 설치가 제한된 경우 pipx를 사용하세요:

pipx install canop

설치를 확인합니다:

canop --version

빠른 시작

.canop.yml과 .canopignore를 초기화합니다:

canop init

현재 디렉터리를 스캔하거나, Git에서 변경된 파일만 스캔합니다:

canop scan .
canop scan . --changed

결과는 기본적으로 50개로 제한됩니다. 제한 없이 사용하려면 --all을, 사용자 지정 제한을 적용하려면 --limit N을 사용하세요:

canop scan . --all
canop scan . --limit 10

고급 사용법

CI/CD

다음 옵션은 임계값을 충족하지 못할 때 0이 아닌 종료 코드를 반환합니다:

canop scan . --fail-on HIGH
canop scan . --min-score 85

결과 내보내기

canop scan . --json-out results.json
canop scan . --sarif results.sarif
canop scan . --prescriptions fixes.json

SARIF 출력은 인라인 결과를 위해 GitHub에 업로드할 수 있습니다. fixes.json에는 LLM 기반 조치를 위한 프롬프트가 포함됩니다.

구성

프로젝트 루트에 .canop.yml을 추가하여 정책 임계값과 무시할 경로를 정의합니다:

min_grade: B
fail_on:
  - CRITICAL
  - HIGH
ignore:
  - "tests/**"
  - "docs/**"
max_findings: 0

.canopignore는 .gitignore 스타일 패턴을 사용하여 파일과 디렉터리를 제외합니다.

탐지 방식

CanoP는 canop/rules/*.yml에서 규칙을 로드하고 내장 패턴 엔진으로 로컬에서 스캔합니다. 시크릿 규칙은 주석을 검사하여 AI 코딩 에이전트가 프런트엔드 소스에 실수로 남긴 자격 증명을 잡아냅니다. 다른 규칙들은 잡음을 줄이기 위해 주석만 있는 줄은 무시합니다. 설치되어 있는 경우 Semgrep이 AST 기반 분석을 추가합니다. 이는 선택 사항이며 CanoP와 함께 설치되지 않습니다.

로컬 개발

git clone https://github.com/openbreach/CanoP.git canop
cd canop
pip install -e .
python -m unittest discover -s tests -v

배포 아티팩트를 빌드하려면:

pip install -r requirements-dev.txt
python -m build

규칙 개발

규칙은 Semgrep YAML 형식을 사용하며 canop/rules/*.yml에 위치합니다. 지침은 CONTRIBUTING.md를 참조하세요.

지원

버그 및 기능 요청은 GitHub 이슈를 열거나 [email protected]으로 이메일을 보내주세요.

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다.

인기

CanoP