工具

w4r10ck423/envvisualizer

解析并可视化被入侵 Linux 主机上的 /proc/self/environ —— 按技术栈（AWS、Django、Rails、NodeJS、MySQL、K8s、Docker 等）对环境变量进行分类，并生成带有严重性评级、可直接运行的命令的洞察。

navikt/cplt

用于 AI 编码代理的沙箱。在 kernel-level 沙箱内运行 Copilot CLI、Claude Code、OpenCode、Gemini CLI、Antigravity、Pi、goose 或普通 shell，并带有 git 和 gh 防护，且沙箱策略已提交到仓库中。

nationwide-group-oss/cryptoptic

基于 CodeQL 的扫描器，可清点跨仓库和 GitHub 组织中的加密函数调用，并以 SARIF 格式生成加密物料清单（CBOM）。

hashgraph-online/hol-guard

面向 AI 代理的开源杀毒软件：在运行时阻止高风险工具、机密访问、提示注入、恶意软件包、MCP 服务器、插件和技能。

fauxrougee/smartscanner-source

基于 C++17 和 Qt 6 构建的 Web 漏洞扫描器，具备 GUI、CLI、可配置爬取和 JSON 报告功能。为教育目的而重构。

openai/privacy-filter

用于文本中PII检测与掩码的双向令牌分类模型，附带用于本地脱敏、评估和微调的CLI。

openbreach/canop

静态分析CLI，用于扫描AI生成的代码中的漏洞，如SQL注入、不安全反射和硬编码密钥，并支持SARIF导出和CI/CD门禁。

nvidia/openshell

面向自主 AI 代理的沙箱运行时，通过声明式 YAML 策略强制执行文件系统、网络和进程约束，并支持端点绑定的凭据注入。

adarsh14734/aegis-releases

Sandbox and MCP proxy that blocks AI coding agents from reading SSH keys, AWS credentials, and .env files, with deny-by-default policy and…

karim852/kumo-domain-recon-tool

Domain OSINT and security reconnaissance framework running 26 parallel modules for DNS, ports, subdomains, leaked credentials, exposed endpoints,…

owasp/trisuella-aidlca-framework

Policy-governed LLMSecOps framework providing AST-based SAST, secret scanning, supply-chain and multi-cloud CSPM checks, AI-BoM generation, and CI/CD…

yeee3642/edu-recon

面向授权教育行业的侦察与分类编排工具（nmap/dirsearch/sqlmap/hydra + CVE-2024-4577、密钥/API密钥泄露、XSS、wp2shell），带Web控制面板

unkl4b/gitminer3

用于在 GitHub 上高级挖掘内容的工具

wadingporque/apkprobe

APK 反编译器和密钥扫描器，用于 Android 安全研究！从 APK 文件中提取泄露的 API 密钥、硬编码凭据、端点。apk2url，APK 泄露检测。漏洞赏金与渗透测试工具。apkleaks、MobSF 的替代方案！

irsdl/crapsecrets

一个用于跨多个 Web 框架检测已知机密的库

kriskimmerle/wheelaudit

Python Wheel 文件安全扫描器 — 在安装前扫描 .whl 文件以发现安全问题。检测路径遍历（CVE-2026-24049）、RECORD 篡改、命令遮蔽、机密信息、zip 炸弹。零依赖。

stuxctf/slythestx

移动应用安全审计工具，专注于自动化 SAST 分析、识别底层技术（React Native、Flutter、Xamarin、原生），并支持在已 root 或已越狱设备上进行更深层次的测试。