GitGalaxy

Documentação · Visualizador

1 escaneamento · 97 sinais estruturais · 50+ linguagens · 0 necessidade de compilação
19 pontuações de exposição a risco · 6 relatórios finais · 0 dependências · pip install gitgalaxy

Qual Dor Isto Resolve?

O GitGalaxy existe para um problema recorrente: entender uma base de código grande, real e multilíngue que não compila de forma limpa — o estado em que a maioria dos repositórios de produção realmente se encontra, não a entrada limpa e de linguagem única que a maioria das ferramentas de análise estática presume.

• Escaneamentos de sistema completo em mais de 50 linguagens em uma única passada. Sem toolchain por linguagem, sem exigência de build bem-sucedido. Um repositório poliglota com Go, YAML, Shell e Python misturados é escaneado como um único sistema, não como cinco invocações separadas de ferramentas.
• Nunca há compilação. Dependências quebradas, pacotes ausentes, código vendor desconectado, módulos legados parcialmente migrados — tudo é escaneado da mesma forma que um repositório limpo, porque nada aqui precisa ser compilado antes.
• Rápido o suficiente para rodar em todo commit. A maioria dos repositórios é escaneada em bem menos de um minuto — Kubernetes, 1,39M de linhas entre Go, YAML, JSON, Shell e Proto, é escaneado de ponta a ponta em 50,83 segundos. O tempo de escaneamento é ajustado como dois regimes em um lote de 599 repositórios — overhead plano abaixo de ~4.258 LOC, depois time(s) ≈ 3.36e-05 × LOC^0.969 acima disso (R²=0,88, quase linear, sem degradação em entradas grandes) — veja Prova, Não Apenas Alegações para o gráfico e a derivação, não apenas este título arredondado.
• Saída nativa para CI, não um relatório isolado. Cada escaneamento produz um arquivo SARIF (que cai direto nos dashboards de segurança do GitHub/GitLab), um SBOM CycloneDX (conformidade de dependências) e uma pontuação de exposição a risco de 0–100 por arquivo, pasta e repositório. Veja Benchmarks para exemplos reais e inspecionáveis de cada um.

Este não é um scanner de vulnerabilidades que compete com CodeQL, Semgrep ou SonarQube. Essas ferramentas fazem análise profunda e precisa depois que seu código compila, geralmente uma linguagem por vez. O GitGalaxy responde primeiro a uma pergunta diferente — como esse sistema inteiro realmente se parece e onde o risco está concentrado — em todas as linguagens do repositório simultaneamente, antes mesmo de essas ferramentas mais profundas terem um build com o qual trabalhar. Veja "Como Isso se Compara, Arquiteturalmente" abaixo para exatamente onde o trabalho de cada ferramenta começa e termina.

O Gitgalaxy pode avaliar repositórios completos, compostos por misturas de mais de 50 linguagens diferentes, mapear a arquitetura e trazer à tona exposições de risco junto com alvos de refatoração priorizados — hotspots, risco de bus-factor e arquivos estruturais críticos — para que você saiba por onde focar primeiro. O gráfico abaixo é um fluxo de trabalho de um único escaneamento do gitgalaxy em nosso repositório de teste golden, que contém arquivos de código de exemplo desde o software de voo Apollo-11 de 1969 até as pilhas tecnológicas modernas. Benchmark

Inteligência de Arquitetura — Segurança, Navegação de Código e Modernização de Legado Construídas sobre um Único Grafo

A saída principal do Gitgalaxy é uma coisa só: um grafo estrutural determinístico de todo o repositório. Auditoria de segurança, priorização de refatoração e tradução de linguagem legada para moderna (veja Ferramentas & Casos de Uso para Bases de Código Empresariais abaixo) são todos consumidores desse mesmo grafo, não produtos separados com mecanismos separados — é por isso que isto se parece mais com uma plataforma de inteligência de arquitetura do que com um scanner de vulnerabilidades de propósito único.

A maioria dos mecanismos de inteligência de código usa uma AST, como o tree-sitter, que oferece uma visão excessivamente granular de um repositório (como pedir para entender uma casa e receber uma lista de cada tijolo e vidraça) e limita as linguagens e arquivos que podem ser escaneados. Repositórios modernos são poliglotas. Muitos repositórios têm código antigo sem uma boa AST. Para contornar isso, o Gitgalaxy usa um mecanismo personalizado de análise estrutural regex/lexical com uma camada de estatísticas por cima — ele constrói um vetor de características por arquivo (a partir de ~97 categorias de "sinais" regex — que marcam os limites de funções, fluxo de controle, E/S, mutação de estado e dezenas de outros comportamentos estruturais e relevantes para segurança) e por repositório (grafo de dependências via resolução de imports + PageRank/centralidade), depois transforma essas contagens brutas em pontuações de risco normalizadas de 0–100 via funções sigmoide, e exporta o resultado para seis formatos.

O Gitgalaxy troca a precisão em nível de AST por velocidade de ordens de magnitude e cobertura universal de linguagens, no mesmo espírito em que o BLAST trocou o alinhamento exaustivo de Smith-Waterman por velocidade heurística na genômica. A saída inclui SARIF, SBOM CycloneDX, um grafo de conhecimento SQLite consultável, um brief de arquitetura otimizado para LLM e dados de visualização 3D a partir de uma única passada de escaneamento — veja "Qual Dor Isto Resolve?" acima para números reais de tempo de escaneamento em vez de um adjetivo vazio.

O resultado é um grafo de conhecimento determinístico do repositório, construído sem nunca exigir que o código compile. Ele calcula a proporção entre código de teste e lógica central, mapeia o "raio de impacto" (blast radius) de cada arquivo através do grafo de dependências e traz à tona sinal de estrutura de projeto que linters linha a linha perdem completamente. A extração de sinal por arquivo roda em tempo linear em relação ao tamanho da base de código; as métricas de grafo em nível de repositório (centralidade, detecção de comunidades) usam algoritmos padrão de análise de redes com limites explícitos de amostragem em grafos muito grandes.

Escaneando o Apollo-11 com o mecanismo blAST

O que o GitGalaxy Encontra — e o que Ele Não Afirma

O GitGalaxy produz dois tipos diferentes de saída, e eles devem ser lidos de formas diferentes.

Pontuações de Exposição a Risco são um sinal de 0–100, normalizado por densidade, em 19 categorias (segredos, superfície de injeção, corrupção de memória e mais), consolidado de função para arquivo, para pasta, para repositório. Uma pontuação alta significa isto merece atenção primeiro — é um sinal de priorização, não um veredito. Dois arquivos podem ter a mesma pontuação por motivos completamente diferentes: um problema real, ou um padrão legítimo que parece idêntico na superfície. Malware criptografado e uma rotina de criptografia bem testada ambos produzem alta entropia. O GitGalaxy não pode dizer qual deles encontrou — apenas que há algo ali que merece um segundo olhar.

Descobertas são sinalizações individuais em nível de linha: uma Assinatura Estrutural específica que ultrapassou um limite de risco. Estas são evidências para revisar, não vulnerabilidades confirmadas. O GitGalaxy nunca executa código, rastreia fluxo de dados em tempo de execução nem verifica explorabilidade — ele informa que um padrão existe no texto, naquela linha exata, e entrega o contexto para você julgar por conta própria.

Isto é intencional, não uma limitação que estamos escondendo. O GitGalaxy é construído para errar em direção ao recall em vez da precisão: sinalizar mais, e deixar que um humano ou uma ferramenta mais profunda reduza a lista, em vez de arriscar ficar em silêncio sobre algo real. Falsos positivos são o custo esperado dessa troca, da mesma forma que são para todo analisador estático que não executa o código que lê.

Isso também significa que o GitGalaxy é mais forte contra uma classe específica de problema — negligência, não evasão adversarial. Uma chave hardcoded que alguém esqueceu de remover, um registro inseguro, uma chamada obviamente perigosa a eval() — ninguém do outro lado disso está tentando se esconder de um scanner. Um atacante especificamente motivado, que sabe como funciona a detecção estática baseada em assinaturas, pode evadir sinais individuais como limiares de entropia sem muito esforço. Trate o GitGalaxy como a primeira passada rápida em uma base de código grande demais para ser lida manualmente — não a palavra final sobre se algo é seguro.

Classes de Fraqueza, Não Apenas CVEs Conhecidas

## Instalação e Uso * Baseado em Python: `pip install gitgalaxy` * Execução via CLI * **[Como adicionar uma nova linguagem de programação em 1 prompt](https://github.com/squid-protocol/gitgalaxy/blob/main/gitgalaxy/standards/how_to_add_a_language.md)** * Gera JSONs forenses (otimizados para relatórios de resumo de agentes de IA) e um banco de dados SQLite3 nativo para consultas e armazenamento robustos.

### Uso Comercial e Empresarial
Executar o GitGalaxy em ambientes corporativos, bases de código proprietárias ou pipelines de CI/CD comerciais exige uma licença empresarial. Pipelines corporativos sem licença sofrerão atrito intencional de execução, e tentar usar a chave da Camada Gratuita da Comunidade em um ambiente corporativo acionará avisos explícitos de não conformidade nos seus registros de auditoria.

Para adquirir uma chave comercial para sua organização e garantir registros de conformidade limpos, entre em contato: **[email protected]**