---

Что это такое

Penthera проверяет ваше приложение, его зависимости и ваши инструменты ИИ-кодирования на вашей собственной машине. Она исправляет то, что может, с вашего одобрения. Каждая находка происходит из правила, которое вы можете прочитать, с её доказательством в file:line. Модель может предлагать; правило решает.

Это также открытый исследовательский проект. Мы публично измеряем каждую проверку и публикуем результаты, хорошие или плохие, чтобы вы видели, насколько ей можно доверять.

Она находит известные классы проблем, а не новые. Она не заменяет живого пентестера.

Начните за 30 секунд

Вам нужен Node.js 22 или новее. Без установки, без аккаунта.

Создаёте с помощью Cursor, Claude Code, Codex, VS Code, Windsurf, Gemini CLI, Zed, JetBrains или Kiro, или конструктора приложений вроде Lovable, Bolt, Base44, Replit или v0? Penthera в вашем инструменте кодирования содержит настройку для каждого из них.

В вашем терминале. Запустите это в папке вашего проекта:

npx penthera

Он определяет вашу конфигурацию офлайн, спрашивает, что проверить, и выдаёт оценку по каждой области и три вещи, которые нужно исправить в первую очередь. Он сканирует ваше запущенное приложение только после того, как вы подтвердите, что приложение принадлежит вам. Ничего не коммитится и не пушится (пошаговый старт).

В вашем агенте для программирования, как навык. Затем спросите «просканируй моё приложение на предмет проблем безопасности»:

npx skills add danoszz/penthera

В вашем агенте для программирования, как MCP-сервер. Шесть инструментов только для чтения для Claude Code, Cursor, Codex, VS Code и Windsurf. Зафиксируйте версию:

claude mcp add penthera -- npx -y [email protected] mcp

В Claude Code, как плагин. Из приглашения Claude Code:

/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera

В Gemini CLI, как расширение. Он запускает MCP-сервер, закреплённый в gemini-extension.json, который следует за новейшим релизом, включая релиз-кандидаты:

gemini extensions install https://github.com/danoszz/penthera

Другие клиенты: docs/commands/mcp.md. Другие способы установки навыков: docs/commands/skill.md.

Чтобы запустить в контейнере: docker build -t penthera . && docker run --rm penthera https://your-app.example.

Публичные бенчмарки

Мы тестируем Penthera на публичных наборах данных, созданных другими людьми, рядом с бесплатными инструментами с открытым исходным кодом, выполняющими ту же работу, и оцениваем их одинаковым способом. Каждый набор данных был разделён пополам до того, как мы на него посмотрели: мы улучшали Penthera на одной половине и один раз оценивали на другой, запечатанной половине. Правила оценки и ранжирования были записаны до этого запуска (протокол).

Бенчмарк	Оценка	Penthera 1.9.0	Penthera 2.0.0	Место среди бесплатных инструментов	Лучший другой бесплатный инструмент
Утёкшие секреты (Samsung CredData)	F1	0.18	0.74	2-е из 10	deepsecrets 0.78
Вредоносные npm-пакеты (DataDog)	обнаружено минус ложные срабатывания	0.57	0.71	1-е из 6, делят 1-е–3-е места ⁴	malcontent 0.63
Вредоносные PyPI-пакеты (DataDog)	обнаружено минус ложные срабатывания	0.74	0.82	1-е из 8, делят 1-е–3-е места ⁴	GuardDog 0.74
Ошибки инъекций в JS-библиотеках (SecBench.js)	найдено в правильном файле	0.16	0.70	1-е из 8, делят 1-е–4-е места ⁴	odgen 0.68

⁴ Диапазон при равенстве — это интервал ранга: диапазон, в который попадал ранг Penthera в 95% из 10 000 бутстрэп-перевыборок подсчётов каждого инструмента (на SecBench.js — из его 64 тестовых ошибок). Только Penthera выходила на первое место в 76% перевыборок на npm, 82% на PyPI и 60% на SecBench.js. Исследовательский характер: вычислено после зарегистрированного ранжирования.

Утёкшие секреты: 2-е место по F1, зарегистрированной оценке; 1-е по F0.5, которая придаёт больше веса точности (0.82 против deepsecrets 0.80); 2-е по F2, которая придаёт больше веса полноте (0.68 против deepsecrets 0.77).