工具

m14r41/scan4secrets

使用170多条规则在源代码、Web URL和CI/CD中查找凭据和密钥，对照供应商API进行验证，并生成SARIF、JSONL、HTML、PDF或Excel报告。

gmh5225/llm-guard-service

一项用于在与 AI 服务交互时提供针对提示注入、越狱攻击和有害内容防护的服务。

mongodb/kingfisher

Detect secrets + live validation. Map blast radius. Revoke fast. Use the CLI or embed in Rust and Python.

vulnz/sast

Free offline SAST engine for CI/CD: AST and cross-file taint analysis, secret detection with live validation, SCA/CVE, IaC misconfiguration, and…

vighnesh91/-logicsentry-ai

离线 SAST/DAST 分诊引擎，解析源代码并重放 HAR 流量，以检测业务逻辑缺陷、BOLA、竞态条件和权限问题，并支持本地 LLM 分诊。

vighnesh91/cloudgarrison

基于浏览器的离线多云态势工作台，通过 WebAssembly 在本地模拟攻击路径、审计 IaC 合规性、分析身份图谱并映射审计日志。

anthropics/oss-scanner

在隔离的离线虚拟机中构建已注册的开源仓库，并扫描其安全漏洞，通过电子邮件发送包含复现步骤和建议补丁的发现结果的服务。

luftwaffe66/gobfuscator

通过 AES-256 字符串加密及运行时解密、标识符重命名和注释移除来混淆 Go 源代码，以阻碍逆向工程，同时保持运行时行为不变。

githubsecuritylab/seclab-taskflows

用于审计源代码、分类问题以及检测 Web、Android 和 iOS 项目漏洞的示例 AI-agent 任务流和 MCP 服务器。

cartography-cncf/cartography

Pulls infrastructure assets and their relationships from 30+ cloud, identity, and SaaS platforms into a Neo4j graph for security queries and…

nealbridges/vulnhunter

Agentic AI 安全扫描器，能够像攻击者一样对源代码进行推理，通过可执行的 PoC 确认可利用漏洞，并通过 hunt、fix 和 verify 技能推动测试优先的修复。

g0dse11/detecttrace

开源检测工程工具，可端到端追踪安全检测并识别首个失败阶段。

safedep/gryph

AI 编码代理的安全层。适用于 Claude Code、Cursor、Windsurf、Gemini CLI、OpenCode、Pi Agent 等。

praetorian-inc/capability-sdk

共享 Go SDK，为安全扫描器定义标准能力接口，支持多格式发现结果输出（终端、JSON、NDJSON、Markdown、SARIF）以及 CLI 文档漂移检查。

usebruno/bruno

用于探索和测试API的开源IDE（Postman/Insomnia的轻量级替代品）

99designs/aws-vault

一个用于在开发环境中安全存储和访问 AWS 凭据的保险库

soufianecyber/quantum-safe-migration

Enterprise-grade toolkit to audit and migrate legacy infrastructure to hybrid post-quantum cryptography (PQC).