静态代码分析 (SAST)

stackrox/kube-linter

KubeLinter 是一款静态分析工具，可检查 Kubernetes YAML 文件和 Helm charts，以确保其中描述的应用遵循最佳实践。

openai/codex-security

OpenAI 的 Codex Security CLI 和 TypeScript SDK，用于查找、验证和修复安全漏洞。npm: https://www.npmjs.com/package/@openai/codex-security

phpstan/phpstan

PHP静态分析工具 - 在不运行代码的情况下发现代码中的bug！

sonarsource/sonarqube

代码质量与静态分析平台，具备质量门禁、多语言扫描以及以安全为核心的规则，可在CI/CD工作流中检测漏洞和可维护性问题。

pmd/pmd

一个可扩展的多语言静态代码分析器。

knostic/openant

来自 Knostic 的 OpenAnt 是领先的开源基于 LLM 的漏洞发现产品，帮助防御者主动发现已验证的安全缺陷，同时将误报和漏报降到最低。第一阶段负责检测，第二阶段负责攻击。幸存下来的才是真实漏洞。

gadievron/raptor

自动化安全研究框架，集成静态分析、二进制分析、模糊测试、基于大语言模型的漏洞验证、漏洞利用生成及补丁编写，支持攻击与防御操作。

aquasecurity/trivy

在容器、Kubernetes、代码仓库、云环境等中发现漏洞、错误配置、密钥、SBOM

checkmarx/kics

用于基础设施即代码的静态分析扫描工具，可检测Terraform、Kubernetes、CloudFormation以及20多个IaC平台中的安全漏洞、合规违规和错误配置。

promptfoo/modelaudit

用于 AI/ML 模型文件的安全扫描器。在部署前检测恶意代码、后门和漏洞。

securego/gosec

Go 安全检查器

0xdea/haruspex

Vulnerability research assistant that extracts pseudocode from the IDA Hex-Rays decompiler.

awarexone/agentic-bug-hunter

AI-powered bug bounty hunting toolkit that works with or without subscription.

semgrep/semgrep

轻量级多语言静态分析。通过类似源代码的模式查找Bug变种。

facebook/infer

一个用于 Java、C、C++ 和 Objective-C 的静态分析器

gitlab-org/security-products/sast-rules

经过精心策划的Semgrep规则仓库，用于GitLab SAST，提供跨多种编程语言的静态分析模式，用于检测安全漏洞，并支持CI/CD集成。