Motor formal de análise de contaminação inter-procedural para segurança de aplicações. Rastreia dados não confiáveis através de limites de funções, camadas de persistência e código assíncrono. Pronto para agente de IA com repetição determinística de regras. Alternativa de código aberto ao Semgrep Pro e CodeQL.
<p align="center">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="../../logos/opentaint-logo-dark.svg">
<source media="(prefers-color-scheme: light)" srcset="../../logos/opentaint-logo-light.svg">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/opentaint-logo-light.svg" alt="OpenTaint" height="100">
</picture>
</p>
<h3 align="center">O motor de análise de taint de código aberto para a era da IA</h3>
<p align="center">
Análise de taint formal para segurança de aplicações — encontra o que motores de correspondência de padrões AST deixam passar, permite que agentes LLM apliquem vulnerabilidades como regras, escala onde nenhum deles consegue sozinho.
</p>
<p align="center">
<a href="https://github.com/seqra/opentaint/releases"><img src="https://img.shields.io/github/release/seqra/opentaint.svg" alt="GitHub release"></a>
<a href="https://goreportcard.com/report/github.com/seqra/opentaint/cli"><img src="https://goreportcard.com/badge/github.com/seqra/opentaint/cli" alt="Go Report Card"></a>
<a href="https://github.com/seqra/opentaint/blob/main/LICENSE.md"><img src="https://img.shields.io/badge/License-Apache%202.0-blue.svg" alt="License: Apache 2.0"></a>
<a href="https://golang.org/"><img src="https://img.shields.io/badge/Go-1.25+-00ADD8?logo=go" alt="Go Version"></a>
<a href="https://discord.gg/6BXDfbP4p9"><img src="https://img.shields.io/discord/1403357427176575036?logo=discord&label=Discord" alt="Discord"></a>
</p>
<p align="center">
<a href="https://github.com/seqra/opentaint/blob/main/README.md">English</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.zh.md">简体中文</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.zht.md">繁體中文</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.ko.md">한국어</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.de.md">Deutsch</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.es.md">Español</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.fr.md">Français</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.it.md">Italiano</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.da.md">Dansk</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.ja.md">日本語</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.pl.md">Polski</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.ru.md">Русский</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.bs.md">Bosanski</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.ar.md">العربية</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.no.md">Norsk</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.sv.md">Svenska</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.br.md">Português (Brasil)</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.th.md">ไทย</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.tr.md">Türkçe</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.ua.md">Українська</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.bn.md">বাংলা</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.hi.md">हिन्दी</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.gr.md">Ελληνικά</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.vi.md">Tiếng Việt</a> | <a href="https://github.com/seqra/opentaint/blob/main/docs/translations/README.id.md">Bahasa Indonesia</a>
</p>
<p align="center">
<a href="http://opentaint.org/">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="../../public/opentaint-demo-dark.gif">
<source media="(prefers-color-scheme: light)" srcset="../../public/opentaint-demo-light.gif">
<img src="https://assets.kitploit.com/production/public/readmes/13793/562b0290a09060eff941363dd673b805d145664f68b1074b35b7b670ede8cd66.gif" alt="Resumo dos resultados do OpenTaint">
</picture>
</a>
</p>
<p align="center"><b>Tecnologias e integrações suportadas</b></p>
<p align="center">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/java-logo.svg" alt="Java" height="60">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/kotlin-logo.svg" alt="Kotlin" height="60">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/spring-boot-logo.svg" alt="Spring" height="60">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="../../logos/github-logo-dark.svg">
<source media="(prefers-color-scheme: light)" srcset="../../logos/github-logo-light.svg">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/github-logo-light.svg" alt="GitHub" height="60">
</picture>
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/gitlab-logo.svg" alt="GitLab" height="60">
</p>
<p align="center"><i>O motor de análise de taint mais completo para aplicações Spring</i></p>
<p align="center"><b>Roteiro</b></p>
<p align="center">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/python-logo.svg" alt="Python" height="60">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/go-logo.svg" alt="Go" height="60">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/csharp-logo.svg" alt="C#" height="60">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/javascript-logo.svg" alt="JavaScript" height="60">
<img src="https://raw.githubusercontent.com/seqra/opentaint/HEAD/logos/typescript-logo.svg" alt="TypeScript" height="60">
</p>
<div align="center">
<details>
<summary><b>Mais capturas de tela</b></summary>
<p align="center">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="../../public/opentaint-frame-dark-1.png">
<source media="(prefers-color-scheme: light)" srcset="../../public/opentaint-frame-light-1.png">
<img src="https://assets.kitploit.com/production/public/readmes/13793/8d9998e1918080fb841ec0ad473f51269941b9b5536ff7ac24480a600ad2f648.png" alt="Resultado da varredura do OpenTaint">
</picture>
</p>
<p align="center">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="../../public/opentaint-frame-dark-2.png">
<source media="(prefers-color-scheme: light)" srcset="../../public/opentaint-frame-light-2.png">
<img src="https://assets.kitploit.com/production/public/readmes/13793/3f916c30b3f3b64064e428101084005a58f4ae3d988703946a899f6fb5f6f22a.png" alt="Resumo dos resultados do OpenTaint">
</picture>
</p>
<p align="center">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="../../public/opentaint-frame-dark-3.png">
<source media="(prefers-color-scheme: light)" srcset="../../public/opentaint-frame-light-3.png">
<img src="https://assets.kitploit.com/production/public/readmes/13793/a9f747d50d24686930d7fb97c3539bb8f34c42f3c24a79c7f21b8e1d55a7ba43.png" alt="Resumo dos resultados do OpenTaint">
</picture>
</p>
<p align="center">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="../../public/opentaint-frame-dark-4.png">
<source media="(prefers-color-scheme: light)" srcset="../../public/opentaint-frame-light-4.png">
<img src="https://assets.kitploit.com/production/public/readmes/13793/6f527df53125d8b57390c691e3ab37080b3ed7c6c0f9614af7dbbe4e7883c046.png" alt="Resumo dos resultados do OpenTaint">
</picture>
</p>
<p align="center">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="../../public/opentaint-frame-dark-5.png">
<source media="(prefers-color-scheme: light)" srcset="../../public/opentaint-frame-light-5.png">
<img src="https://assets.kitploit.com/production/public/readmes/13793/063464f019e0d1ec835eedd8e14fb1553c50030d193a8dc6739c079bce648126.png" alt="Resumo dos resultados do OpenTaint">
</picture>
</p>
</details>
</div>
---
## Por que OpenTaint?
> O OpenTaint é uma alternativa de código aberto ao *Semgrep Pro* e ao *CodeQL* — um motor de taint formal e interprocedural que você pode personalizar e hospedar por conta própria, criado para que agentes de IA conduzam sua análise de segurança sem queimar tokens a cada varredura.
A IA gera código de produção mais rápido do que as equipes de segurança conseguem acompanhar, e os dois tipos de ferramenta criados para capturar o que ela erra impõem, cada um, um mau compromisso:
- **Os correspondentes de padrões AST** (Semgrep OSS, ast-grep, linters) são gratuitos e rápidos, mas correspondem à sintaxe, não ao fluxo de dados — entradas não confiáveis que cruzam a fronteira de uma função ou uma camada de persistência passam direto. A análise mais profunda e interprocedural que *de fato* as captura ficou por muito tempo trancada dentro de ferramentas proprietárias.
- **Os agentes de segurança LLM** encontram o que os correspondentes de padrões deixam passar, mas releem seu código a cada execução. Os tokens se acumulam a cada arquivo, a cada commit, a cada build de CI — e um modelo probabilístico ainda assim não pode prometer que capturou tudo.
O OpenTaint oferece a profundidade de um agente LLM ao custo de um analisador estático:
- **Encontre o que os correspondentes de padrões AST deixam passar.** Um motor de análise de fluxo de dados formal e interprocedural rastreia dados não confiáveis através de fronteiras de funções, camadas de persistência, aliases e código assíncrono.
- **Pague pelo modelo uma vez, não a cada varredura.** Deixe um agente destilar uma única descoberta em uma regra de taint. O motor determinístico então reaplica essa regra em toda a base de código — e em cada commit seguinte — em minutos de CPU, com custo zero de tokens.
- **Código aberto, com tudo incluso.** Motor, regras e integrações de CI vêm como uma única stack sob as licenças Apache 2.0 e MIT.
## Início Rápido
**Script de instalação (Linux/macOS)**
```
curl -fsSL https://opentaint.org/install.sh | bash
```
**Instalação via Homebrew (Linux/macOS):**
```bash
brew install --cask seqra/tap/opentaint
```
**Script de instalação (Windows PowerShell)**
```
irm https://opentaint.org/install.ps1 | iex
```
**Instalação via npm (Linux/macOS/Windows):**
```bash
npm install -g @seqra/opentaint
```
**Ou execute instantaneamente com npx — sem necessidade de instalação (requer Node.js):**
```bash
npx @seqra/opentaint scan
```
**Escaneie seu projeto:**
```bash
opentaint scan
```
**Ou use Docker:**
```bash
docker run --rm -v $(pwd):/project -v $(pwd):/output \
ghcr.io/seqra/opentaint:latest \
opentaint scan --output /output/results.sarif /project
```
Para mais opções, consulte [Instalação](https://github.com/seqra/opentaint/blob/main/docs/README.md#installation) e [Uso](https://github.com/seqra/opentaint/blob/main/docs/README.md#usage).
---
## Fluxos de Trabalho com Agentes de IA
O OpenTaint inclui skills de agente que transformam a análise estática em um fluxo de trabalho completo de segurança de aplicações. Instale-as com:
```bash
npx skills add https://github.com/seqra/opentaint
```
A skill `appsec-agent` orquestra uma avaliação completa do projeto: compilar o projeto, executar o OpenTaint, descobrir a superfície de ataque, adicionar regras direcionadas, modelar fluxos de dados de bibliotecas ausentes, triar as descobertas e, opcionalmente, gerar verificações dinâmicas de prova de conceito para vulnerabilidades confirmadas.
As skills incluídas cobrem o ciclo comum de análise de segurança:
- **Varredura e triagem:** `build-project`, `run-scan`, `analyze-findings`, `generate-poc`
- **Expansão de cobertura:** `triage-dependencies`, `discover-attack-surface`, `create-test-project`, `create-rule`, `assemble-lib-rules`
- **Modelagem de fluxo de dados:** `analyze-external-methods`, `create-pass-through-approximation`, `create-dataflow-approximation`, `debug-rule`, `report-analyzer-issue`
---
## Documentação
Guias completos — instalação, uso, configuração, integração com CI/CD: **[Documentação](https://github.com/seqra/opentaint/blob/main/docs/README.md)**.
## Suporte
- **Problemas:** [GitHub Issues](https://github.com/seqra/opentaint/issues)
- **Comunidade:** [Discord](https://discord.gg/6BXDfbP4p9)
- **E-mail:** [[email protected]](mailto:[email protected])
## Histórico de Estrelas
<a href="https://www.star-history.com/?repos=seqra%2Fopentaint&type=date&legend=top-left">
<picture>
<source media="(prefers-color-scheme: dark)" srcset="https://api.star-history.com/chart?repos=seqra/opentaint&type=date&theme=dark&legend=top-left&sealed_token=cNibcudvsLJKQVlqN0qt2kK3b3-5zBDkzDzTamAWPRP6ny8KmCeZIooBYT7NBhjkd-T6OiiW7Iu9b1FSgL6n9IHMTPuoqKahF1NtidSTKkDXcbw8bY6k57DDstncYkKHJieEn9sJQ8oKJIYyBtYuQfk19qu5Kb1kvzCMT_dqOXXv3LM7EKZlljFcXAUh" />
<source media="(prefers-color-scheme: light)" srcset="https://api.star-history.com/chart?repos=seqra/opentaint&type=date&legend=top-left&sealed_token=cNibcudvsLJKQVlqN0qt2kK3b3-5zBDkzDzTamAWPRP6ny8KmCeZIooBYT7NBhjkd-T6OiiW7Iu9b1FSgL6n9IHMTPuoqKahF1NtidSTKkDXcbw8bY6k57DDstncYkKHJieEn9sJQ8oKJIYyBtYuQfk19qu5Kb1kvzCMT_dqOXXv3LM7EKZlljFcXAUh" />
<img alt="Star History Chart" src="https://assets.kitploit.com/production/public/readmes/placeholders/f0fc86cfe65f76d40e15aaec61704ec8220a56dc89d4be03c46f67cb31b9fa8c.svg" />
</picture>
</a>
## Licença
O [motor de análise principal](https://github.com/seqra/opentaint/blob/main/core) é disponibilizado sob a [Licença Apache 2.0](https://github.com/seqra/opentaint/blob/main/LICENSE.md). O [CLI](https://github.com/seqra/opentaint/blob/main/cli), [GitHub Action](https://github.com/seqra/opentaint/blob/main/github), [template GitLab CI](https://github.com/seqra/opentaint/blob/main/gitlab) e as [regras](https://github.com/seqra/opentaint/blob/main/rules) são disponibilizados sob a [Licença MIT](https://github.com/seqra/opentaint/blob/main/cli/LICENSE).