Статический анализатор CLI, который сканирует сгенерированный ИИ код на наличие уязвимостей, таких как SQL-инъекции, небезопасная рефлексия и жёстко закодированные секреты, с экспортом SARIF и контролем в CI/CD.
Быстрый автономный инструмент статического анализа, специально разработанный для обнаружения уязвимостей, вносимых AI-ассистентами программирования. CanoP анализирует вашу кодовую базу локально, чтобы выявить риски безопасности в коде, сгенерированном ИИ.
fixes.json. Они содержат конкретные подсказки, предназначенные для передачи обратно в большие языковые модели (LLM) для немедленного, контекстно-зависимого исправления.
CanoP анализирует ваш код локально и выдаёт действенные результаты по безопасности с рекомендациями по исправлению, готовыми для ИИ.
CanoP загружает встроенные правила из canop/rules/*.yml и запускает свой встроенный сканер шаблонов локально. Если установлен CLI Semgrep, CanoP также может использовать те же правила для анализа на основе AST. Semgrep необязателен; стандартная установка пакета не загружает и не требует CLI Semgrep.
CanoP распространяется как стандартный Python-пакет через PyPI.
В Windows или если вы уже находитесь внутри активного виртуального окружения, вы можете использовать стандартный установщик pip:
pip install canop
Современные дистрибутивы macOS и Linux часто блокируют глобальные установки pip для защиты системных пакетов (PEP 668). Стандартом сообщества для установки Python CLI-инструментов в изолированных окружениях является pipx:
pipx install canop
(Примечание: pipx install canop отлично работает и в Windows!)
Проверьте установку, чтобы убедиться, что CLI доступен в системном пути:
canop --version
Инициализируйте файлы конфигурации в вашем репозитории. Эта команда создаёт файл политики .canop.yml и файл .canopignore, чтобы исключить из сканирования шумные каталоги, такие как node_modules или venv:
canop init
Запустите комплексное сканирование безопасности для текущего каталога. Сканер проверяет ваш код с помощью внутреннего движка правил и выводит подробную таблицу с итоговым показателем безопасности:
canop scan .
Сканируйте только файлы, изменённые в git. Это значительно сокращает время сканирования и идеально подходит для pre-commit хуков, гарантируя безопасность нового кода до его коммита:
canop scan . --changed
По умолчанию CanoP поддерживает чистоту терминала, ограничивая отображаемые находки до 50. Если вам когда-либо понадобится копнуть глубже или изменить это:
# Без ограничений, покажи мне каждую находку:
canop scan . --all
# Установить пользовательский лимит (например, если вы хотите видеть только топ-10 результатов):
canop scan . --limit 10
CanoP создан для роли шлюза безопасности в автоматизированных конвейерах развёртывания (таких как GitHub Actions или GitLab CI). Вы можете настроить сканер на возврат ненулевого кода выхода — что автоматически проваливает сборку — если определённые критерии безопасности не выполнены.
# Провалить конвейер развёртывания, если найдены любые CRITICAL или HIGH уязвимости
canop scan . --fail-on HIGH
# Провалить конвейер развёртывания, если совокупный показатель безопасности опустится ниже 85
canop scan . --min-score 85
Для команд, которым требуется историческое отслеживание, аудит или интеграция с внешними системами, CanoP поддерживает несколько форматов вывода.
# Экспортировать необработанные нативные данные Python-словаря в стандартный JSON-файл для пользовательского парсинга
canop scan . --json-out results.json
# Экспортировать в SARIF (Static Analysis Results Interchange Format).
# Загрузка этого файла в GitHub позволяет GitHub отображать уязвимости прямо в Pull Request.
canop scan . --sarif results.sarif
CanoP извлекает метаданные исправления из своего движка правил для генерации подсказок, которые инструктируют AI-ассистенты программирования о том, как именно исправить обнаруженные уязвимости.
# Сгенерировать файл fixes.json, содержащий действенные подсказки для вашей LLM
canop scan . --prescriptions fixes.json
Поведение CanoP можно закодифицировать с помощью файла .canop.yml, размещённого в корне вашего проекта. Этот файл действует как централизованная политика безопасности, гарантируя, что все разработчики и конвейеры CI/CD придерживаются одних и тех же порогов.
# .canop.yml
# Требовать минимальный уровень безопасности для прохождения конвейера
min_grade: B
# Считать эти конкретные уровни серьёзности сбоями конвейера
fail_on:
- CRITICAL
- HIGH
# Игнорировать определённые пути при сканировании
ignore:
- "tests/**"
- "docs/**"
# Разрешить определённое количество находок до возврата ненулевого кода выхода (0 = строго без ограничений)
max_findings: 0
Вы также можете положиться на .canopignore для определения конкретных файлов или каталогов, которые сканер должен пропустить. Он использует стандартные glob-шаблоны, работая идентично .gitignore.
Если вы хотите внести вклад в CLI или протестировать изменения локально, клонируйте репозиторий и установите его в редактируемом режиме. Редактируемый режим связывает терминальную команду canop напрямую с вашим живым исходным кодом.
git clone https://github.com/openbreach/CanoP.git canop
cd canop
pip install -e .
Запустите набор тестов локально перед отправкой изменений:
python -m unittest discover -s tests -v
Чтобы собрать артефакты дистрибутива, установите инструменты релиза и запустите:
pip install -r requirements-dev.txt
python -m build
Правила безопасности определены в стандартном формате Semgrep YAML и находятся в canop/rules/*.yml. Пожалуйста, ознакомьтесь с CONTRIBUTING.md для получения подробных рекомендаций о том, как структурировать, тестировать и отправлять новые правила для расширения возможностей обнаружения сканера.
Если вы найдёте какие-либо ошибки, у вас есть запросы на новые функции или вам нужна общая помощь, пожалуйста, откройте issue на GitHub или свяжитесь с нами напрямую по адресу [email protected].
Этот проект лицензирован под MIT License — подробности см. в файле LICENSE.