AppSec Agent

Agentes de segurança com IA para revisão de código, análise de PR, modelagem de ameaças, geração de correções e muito mais.

Você pode usar o AppSec Agent de três formas:

Caminho	Ideal para	Como começar
CLI (`agent-run`)	Experimente agentes a partir do terminal	Primeiros passos
Biblioteca npm	Construir seu próprio aplicativo ou pipeline	Integração web · Desenvolvimento
AI Threat Modeler	Uma interface web completa com login, painéis e exportações — sem necessidade de CLI	README do aplicativo pai

Instale via npm: npm install appsec-agent

O que você precisa primeiro

Node.js 18+ — nodejs.org
Uma chave de API — por padrão, o provedor Claude usa ANTHROPIC_API_KEY (console Anthropic). O provedor opcional Codex usa CODEX_API_KEY — veja Configuração.
Um terminal — os comandos abaixo usam npx; se você instalou globalmente, remova o prefixo npx.

Início rápido (5 minutos)

1. Instalação

npm install appsec-agent

Ou instale globalmente para que agent-run esteja no seu PATH:

npm install -g appsec-agent

2. Defina sua chave de API

Adicione ao seu perfil do shell (.zshrc, .bashrc, etc.) e abra um novo terminal:

export ANTHROPIC_API_KEY="sua-chave-aqui"

3. Execute seu primeiro agente

# Perguntas e respostas interativas de segurança (função padrão)
npx agent-run

# Liste todas as funções disponíveis
npx agent-run -l

# Revise o código no projeto atual
npx agent-run -r code_reviewer -s ./src

É isso. Para configuração passo a passo, solução de problemas e execução a partir de um clone git, consulte Primeiros passos.

Escolha um agente

Cada função é um fluxo de trabalho especializado. Passe-a com -r / --role.

Função	O que faz
`simple_query_agent`	Faça perguntas sobre segurança de aplicações; pasta de origem opcional
`code_reviewer`	Revisão de segurança do repositório completo; relatório em markdown ou JSON
`pr_reviewer`	Revisão focada em PR/diff (use com `--diff-context`)
`pr_adversary`	Segunda passagem: descarte descobertas sem um caminho de exploração real
`fp_adversary`	Filtro de falsos positivos no repositório completo (confirmar/descartar vereditos)
`code_fixer`	Gere uma correção mínima para uma descoberta
`qa_verifier`	Execute testes para verificar se a correção não quebrou nada
`finding_validator`	Teste novamente se uma descoberta ainda se aplica
`threat_modeler`	Modelo de ameaça STRIDE + registro de riscos (JSON)
`threat_adversary`	Segunda passagem: filtre ameaças não fundamentadas
`context_extractor`	Extraia metadados do repositório para ferramentas downstream
`learned_guidance_synthesizer`	Sintetize orientações de descarte a partir de buckets de sinal

Descrições completas: Guia de Agentes
Comandos para copiar e formatos de arquivo JSON: Exemplos

Comandos comuns

# Revisão de segurança de PR (relatório JSON)
npx agent-run -r pr_reviewer --diff-context pr-diff.json -s ./repo -f json -o report.json

# Modelo de ameaça (JSON)
npx agent-run -r threat_modeler -s ./src -f json -o threat_model_report.json

# Use OpenAI Codex em vez de Claude (opt-in)
npx agent-run -r threat_modeler -s ./src -f json --provider codex -m gpt-4.1

# Adicione contexto de implantação (ajuda a priorizar descobertas)
npx agent-run -r code_reviewer -s ./src -c "API de produção na AWS, lida com PII"

# Versão e ajuda
npx agent-run -v
npx agent-run --help

Documentação

Guia	Conteúdo
Primeiros passos	Instalação, chaves de API, primeiras execuções, solução de problemas
Agentes	Para que serve cada função e quando usá-la
Exemplos	Receitas de CLI e formatos de entrada JSON
Configuração	Variáveis de ambiente, `appsec_agent.yaml`, Claude vs Codex
Integração web	Usando a biblioteca em um servidor com segurança
Desenvolvimento	Clone, compile, teste, arquitetura

Recursos de relance

Múltiplos agentes especializados (revisão, escaneamento de PR, modelo de ameaça, correção, QA, passagens adversariais)
Backends Claude (padrão) ou Codex (--provider codex)
Saídas JSON estruturadas com esquemas para integração com o aplicativo pai
Modo diff de PR e fragmentação automática para grandes PRs
Ferramentas MCP opcionais para histórico de descobertas ao vivo, gráficos de importação e gráficos de base de código
Design de biblioteca thread-safe para servidores web

Projetos relacionados

O AI Threat Modeler agrupa este pacote em um aplicativo Next.js dockerizado com autenticação, canvas de modelo de ameaça, exportação PDF/CSV e chat — o caminho mais fácil se você não quiser escrever código de integração.

git clone https://github.com/yangsec888/ai-threat-modeler.git
cd ai-threat-modeler
docker-compose up -d --build
# Abra http://localhost:3000  (padrão: admin / admin)

Licença e autor

Licenciado sob Apache 2.0.

Sam Li — [email protected]

Referências: Claude Agent SDK · Anthropic API

appsec-agent

Mais Populares