vulnhawk

基于AI的代码安全扫描器，能发现 Semgrep 和 CodeQL 遗漏的漏洞。

快速开始 • GitHub Action • 对比 • 支持的语言 • 常见问题

问题

传统 SAST 工具依赖模式匹配和 AST 规则。它们擅长捕获已知的漏洞模式，但从根本上讲，它们无法理解意图。

如果你的 API 有 20 个端点，其中 19 个在操作资源前验证了授权，Semgrep 无法标记出那一个没有验证的端点——因为没有可匹配的模式。漏洞恰恰是某个模式的缺失。

解决方案

VulnHawk 使用 AI 分析代码，并且对于它检查的每一段代码，它都会引入代码库其他位置的相关代码作为上下文。这个增强步骤让 AI 能够比较相似组件如何处理安全问题——从而发现那个没有处理的组件。

快速开始

pip install vulnhawk

选择一个后端：

# Claude Code CLI - 对订阅者免费（推荐）
vulnhawk scan ./src -b claude-code

# Codex CLI - 对 ChatGPT Pro/Plus 订阅者免费
vulnhawk scan ./src -b codex

# Claude API
export ANTHROPIC_API_KEY=sk-ant-...
vulnhawk scan ./src

# OpenAI API
vulnhawk scan ./src -b openai -m gpt-4o

# Ollama - 免费、本地、完全私有
vulnhawk scan ./src -b ollama -m llama3.1

无需配置文件。无需编写规则。无需构建数据库。

Claude Code 和 Codex 后端对已有订阅的用户免费。VulnHawk 通过你的本地 CLI 传递提示，因此没有额外的 API 成本。

VulnHawk 与其他 SAST 工具对比

_{*使用 Claude Code、Codex CLI 或 Ollama 时免费。API 后端每次扫描大约 $0.50-$2.00。}

VulnHawk 能发现而其他工具无法发现的漏洞

推荐的工具组合

VulnHawk 被设计为补充层，而非替代品：

使用方式

扫描模式

vulnhawk scan ./src                      # 完整扫描（默认）
vulnhawk scan ./src --mode auth          # 认证绕过、缺少检查、会话缺陷
vulnhawk scan ./src --mode injection     # SQLi、命令注入、SSTI、XSS
vulnhawk scan ./src --mode secrets       # 硬编码密钥、令牌、密码
vulnhawk scan ./src --mode config        # 调试模式、宽松CORS、不安全cookies
vulnhawk scan ./src --mode crypto        # 弱哈希、硬编码密钥、不良RNG

输出格式

vulnhawk scan ./src -o json -f results.json        # JSON
vulnhawk scan ./src -o sarif -f results.sarif       # SARIF（GitHub 代码扫描）
vulnhawk scan ./src -o markdown -f report.md        # Markdown 报告

严重性过滤

vulnhawk scan ./src --severity high      # 仅严重 + 高危
vulnhawk scan ./src --severity info      # 全部

SARIF 输入 - 与其他工具链式使用

将 Semgrep、CodeQL 或任何生成 SARIF 的工具的输出送入 VulnHawk。它将利用这些发现作为额外上下文来验证、扩展和关联它们，从而发现更深入的漏洞。

# 先运行 Semgrep，然后使用 VulnHawk 增强
semgrep --config auto ./src -o semgrep.sarif --sarif
vulnhawk scan ./src --sarif-input semgrep.sarif

其能力包括：

• 验证其他工具的发现是真的还是误报
• 在标记位置附近发现相关漏洞
• 构建连接多个工具发现的多步攻击链
• 检查建议的修复是否解决了实际的根因

空跑

vulnhawk info ./src    # 预览文件、代码块和语言分布

GitHub Action

VulnHawk 作为默认分支的基线扫描和每个拉取请求的增量扫描运行。

推荐配置

name: VulnHawk Security Scan
on:
  push:
    branches: [main, master]
  pull_request:

permissions:
  security-events: write
  contents: read

jobs:
  vulnhawk:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: momenbasel/vulnhawk@main
        with:
          target: '.'
          backend: 'claude-code'
          claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
          severity: 'medium'
          fail-on-findings: 'true'

发现结果会自动通过 SARIF 上传到 GitHub 的 安全 > 代码扫描 标签页。

后端选项

backend: 'claude-code'
claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}

backend: 'codex'

api-key: ${{ secrets.ANTHROPIC_API_KEY }}

backend: 'openai'
api-key: ${{ secrets.OPENAI_API_KEY }}

在 CI 中与 Semgrep 链式使用

steps:
  - uses: actions/checkout@v4

  - name: Semgrep（快速模式扫描）
    uses: returntocorp/semgrep-action@v1
    with:
      config: auto
      generateSarif: true

  - name: VulnHawk（深度AI分析）
    uses: momenbasel/vulnhawk@main
    with:
      target: '.'
      backend: 'claude-code'
      claude-code-oauth-token: ${{ secrets.CLAUDE_CODE_OAUTH_TOKEN }}
      sarif-input: 'semgrep.sarif'

支持的语言

工作原理

代码库 ──> 发现 ──> 切块 ──> 增强 ──> 分析 ──> 验证 ──> 报告
                │          │          │           │           │
           尊重       函数      相关       LLM +    去重 +
          .gitignore  类        来自同一   安全       置信度
          .vulnhawk-  路由      目录的     提示       评分
          ignore      模块      代码 +
                               认证模式

增强步骤是关键差异器。对于每个代码块，VulnHawk 包含：

• 来自同一目录的其他函数/路由
• 来自整个代码库的认证中间件和守卫模式

这为 AI 提供了识别不一致所需的上下文。

配置

.vulnhawkignore

排除要扫描的路径（gitignore 语法）：

generated/
vendor/
third_party/
*.gen.go

环境变量

成本

常见问题