devsecops

KeygraphHQ/shannon

実際にエクサプロイトを実行し証明するAIペンテスター — Shannonはソースコードを解析して攻撃経路を特定し、実際にエクスプロイトを実行して脆弱性を証明するオープンソースのAIペンテストエージェントです。「エクスプロイトなければレポートなし」が方針で、npxでローカル実行しCI/CDや本番前チェックに組み込めます。AppSec・DevSecOpsチーム向けです。

Shannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.

aquasecurity/trivy

あらゆるものをスキャンする統合セキュリティツール — コンテナイメージやKubernetes、コードリポジトリ、クラウドなど多様な対象から脆弱性・設定ミス・秘密情報・SBOMを一括検出できるスキャナーです。個別ツールを組み合わせずに済むため、DevSecOpsの現場で広く採用されており、GitHub Actionsなど各種エコシステムとの連携も充実しています。

Find vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more

mukul975/Anthropic-Cybersecurity-Skills

AIエージェントに攻撃・防御スキルを一括注入するライブラリ — AIエージェントにセキュリティ専門家並みの判断力を持たせる、817個の構造化サイバーセキュリティスキル集です。MITRE ATT&CKやNIST CSFなど6大フレームワークにマッピングされ、Claude CodeやCopilot、Cursorなど20以上のプラットフォームで利用可能。29分野を網羅し、agentskills.io標準に準拠した現時点最大級のOSSスキルライブラリです。

817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATT&CK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF & MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI & 20+ platforms · 29 security domains · Apache 2.0

gitleaks/gitleaks

Git履歴に潜む秘密情報を検出する定番CLI — パスワードやAPIキー、トークンなどの秘密情報をgitリポジトリやファイル、標準入力から検出するGo製CLIツールです。正規表現ベースの検出エンジンとCI/CD連携（GitHub Action）で高い実用性を持ち、DevSecOpsの定番として広く使われています。現在は機能完成版として保守フェーズに入り、開発の軸は後継のBetterleaksへ移行中です。

Find secrets with Gitleaks 🔑

trufflesecurity/trufflehog

漏洩シークレットを検出・検証・分析するTruffleHog — Git履歴やチャット、Wikiなど様々な場所から漏洩したAPIキーやパスワードなどのシークレットを検出し、800種類以上に分類、さらに実際に有効かどうかを自動でログイン検証できるツールです。検出だけでなく生死判定まで行える点が既存のシークレットスキャナーとの差別化点で、DevSecOpsのパイプラインやpre-commitフックへの組み込みにも向いています。

Find, verify, and analyze leaked credentials

MobSF/Mobile-Security-Framework-MobSF

モバイルアプリ専用の統合セキュリティ診断基盤 — Android・iOS・Windows Mobileアプリを対象に、静的解析と動的解析を1つのプラットフォームで行える自動セキュリティ診断フレームワークです。APK/IPA/APPXやソースコードに対応し、REST APIとCLIでCI/CDやDevSecOpsパイプラインに組み込める点が特徴です。ペネトレーションテストやマルウェア解析、プライバシー診断にも活用できます。

Mobile Security Framework (MobSF) is an automated, all-in-one mobile application (Android/iOS/Windows) pen-testing, malware analysis and security assessment framework capable of performing static and dynamic analysis.

bytebase/bytebase

人間とAIエージェント両方に対応するDB統制基盤 — Bytebaseは、マイグレーションスクリプトやSQLクライアント、チケット管理に分散しがちなDB操作を一元化するオープンソースのデータベース統制プラットフォームです。人間だけでなくAIエージェントからのアクセスも含め、変更管理・権限制御・監査をGUIとGitOpsで統合的に扱える点が特徴です。

Database governance built for humans and agents — controlling changes and access across every major database.

openai/codex-security

OpenAI製、脆弱性検出・修正まで行うCLI — OpenAIが提供するセキュリティ専用CLI兼TypeScript SDKです。リポジトリやGit差分をAIでスキャンして脆弱性を検出・検証し、パッチ生成や既存修正の検証まで自動化します。GitHub code scanningの取り込みやSARIF/CI連携にも対応し、DevSecOps全体を一気通貫で支援します。

OpenAI's Codex Security CLI and TypeScript SDK for finding, validating, and fixing security vulnerabilities. npm: https://www.npmjs.com/package/@openai/codex-security

hahwul/dalfox

🌙🦊 Dalfox is a powerful open-source XSS scanner and utility focused on automation.

tmatens/compose-lint

Security-focused linter for Docker Compose files. Catches dangerous misconfigurations before they reach production. Grounded in OWASP and CIS Docker Benchmark.