工具

google/osv-scanner

用 Go 编写的漏洞扫描器，使用 https://osv.dev 提供的数据

dmdhrumilmistry/security-harness

面向 AI 编码代理的多代理静态应用安全审查框架：映射代码库、搜寻漏洞类别、串联并验证发现结果，并输出 SARIF、JSON 和 PDF 报告。

nvidia/skillspector

Security scanner for AI agent skills. Detect vulnerabilities, malicious patterns, security risks, prompt injection, data exfiltration, and…

anchore/grype

一个用于容器镜像和文件系统的漏洞扫描器

m14r41/scan4secrets

使用170多条规则在源代码、Web URL和CI/CD中查找凭据和密钥，对照供应商API进行验证，并生成SARIF、JSONL、HTML、PDF或Excel报告。

nvidia/openshell

面向自主 AI 代理的沙箱运行时，通过声明式 YAML 策略强制执行文件系统、网络和进程约束，并支持端点绑定的凭据注入。

awarexone/agentic-bug-hunter

AI 驱动的漏洞赏金狩猎工具包，支持订阅与免订阅使用。

trufflesecurity/trufflehog

查找、验证和分析泄露的凭证

akha-security/akca

Evidence-oriented DAST scanner in Go that crawls web apps and APIs, then runs adaptive SQLi, XSS, RCE, SSRF, and auth checks with replayable proof.

navikt/cplt

Sandbox for AI coding agents. Runs Copilot CLI, Claude Code, OpenCode, Gemini CLI, Antigravity, Pi, goose or a plain shell inside a kernel-level…

stuxctf/slythestx

移动应用安全审计工具，专注于自动化 SAST 分析、识别底层技术（React Native、Flutter、Xamarin、原生），并支持在已 root 或已越狱设备上进行更深层次的测试。

karim852/kumo-domain-recon-tool

Domain OSINT and security reconnaissance framework running 26 parallel modules for DNS, ports, subdomains, leaked credentials, exposed endpoints,…

aquasecurity/trivy

在容器、Kubernetes、代码仓库、云环境等中发现漏洞、错误配置、密钥、SBOM

snyk/cli

Snyk CLI 扫描并监控您的项目是否存在安全漏洞。

sheeki03/tirith

为开发者和AI代理提供终端安全。拦截同形异义URL、管道到shell、ANSI注入、混淆载荷、数据外泄以及恶意AI技能/配置，在它们执行之前。

piratesshield/apiharvester

一次性 API 攻击工具 - 从给定的根 URL 中发现 API 地址并模拟自动化攻击

s0md3v/hardcodes

从源代码中查找硬编码字符串