工具

vigiloss/vigil

AI 驱动的安全测试，配备专业代理、Kali 运行时和持久化编排。

vulnz/sast

Free offline SAST engine for CI/CD: AST and cross-file taint analysis, secret detection with live validation, SCA/CVE, IaC misconfiguration, and…

githubsecuritylab/seclab-taskflow-agent

支持MCP的多智能体框架，用于声明式YAML驱动的智能体工作流，结合CodeQL集成，应用于AI辅助代码审计、漏洞分类和安全研究。

nealbridges/vulnhunter

Agentic AI 安全扫描器，能够像攻击者一样对源代码进行推理，通过可执行的 PoC 确认可利用漏洞，并通过 hunt、fix 和 verify 技能推动测试优先的修复。

linuztx/alter-zero

RAM efficient terminal agent harness for coding, cybersecurity, and automation.

joshuaprovoste/deserializer

基于AST的静态代码分析器，结合代理式LLM驱动的关系映射，用于在AI、LLM、机器人、数据科学、机器学习和深度学习（但不限于此）领域发现Python RCE路径和深层反序列化链。

niffyhunt/codeguard-copilot

AI 驱动的安全副驾驶，在您编码时捕捉漏洞。为开发者提供实时安全扫描、教学式解释和自动修复。

dmdhrumilmistry/security-harness

面向 AI 编码代理的多代理静态应用安全审查框架：映射代码库、搜寻漏洞类别、串联并验证发现结果，并输出 SARIF、JSON 和 PDF 报告。

nationwide-group-oss/cryptoptic

基于 CodeQL 的扫描器，可清点跨仓库和 GitHub 组织中的加密函数调用，并以 SARIF 格式生成加密物料清单（CBOM）。

whgojp/javaseclab

全面的 Java 漏洞实验环境，包含易受攻击和已修复的代码、攻击场景、source/sink 审计笔记，以及用于安全培训和工具评估的安全编码指南。

auditinfra-io/o1js-scan

用于检测 o1js/Mina zkApps 和 Noir 电路中 zk 电路健全性漏洞的无依赖静态分析器

openbreach/canop

静态分析CLI，用于扫描AI生成的代码中的漏洞，如SQL注入、不安全反射和硬编码密钥，并支持SARIF导出和CI/CD门禁。

owasp/trisuella-aidlca-framework

Policy-governed LLMSecOps framework providing AST-based SAST, secret scanning, supply-chain and multi-cloud CSPM checks, AI-BoM generation, and CI/CD…

offensive360/sast-scan-action

GitHub Action for Offensive360 SAST scans and SARIF results. See the open-source program for eligibility and setup.

offensive360/mcp-server

MCP 服务器，可在本地代码库上运行 SAST 扫描，并返回带有严重级别和修复建议的发现结果，使 AI 助手能够执行安全分析和修复。

arian-gogani/enforcement-coverage

查找授权弱于其同级路由的 API 路由。从源代码中恢复出 CVE-2026-45316。包含负面结果。

awarexone/agentic-bug-hunter

AI-powered bug bounty hunting toolkit that works with or without subscription.