security-tools

KeygraphHQ/shannon

実際にエクサプロイトを実行し証明するAIペンテスター — Shannonはソースコードを解析して攻撃経路を特定し、実際にエクスプロイトを実行して脆弱性を証明するオープンソースのAIペンテストエージェントです。「エクスプロイトなければレポートなし」が方針で、npxでローカル実行しCI/CDや本番前チェックに組み込めます。AppSec・DevSecOpsチーム向けです。

Shannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.

aquasecurity/trivy

あらゆるものをスキャンする統合セキュリティツール — コンテナイメージやKubernetes、コードリポジトリ、クラウドなど多様な対象から脆弱性・設定ミス・秘密情報・SBOMを一括検出できるスキャナーです。個別ツールを組み合わせずに済むため、DevSecOpsの現場で広く採用されており、GitHub Actionsなど各種エコシステムとの連携も充実しています。

Find vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more

vxcontrol/pentagi

自律AIエージェントが攻める侵入テスト基盤 — PentAGIは複数のAIエージェントが協調し、ペネトレーションテストのタスクを自律的に遂行するセキュリティツールです。OpenAIやAnthropicなど主要LLMプロバイダに対応し、Dockerでエージェントを安全に隔離実行できる点が特徴。攻撃的セキュリティ検証を自動化したいセキュリティ研究者やレッドチームに刺さる設計です。

Fully autonomous AI Agents system capable of performing complex penetration testing tasks

gitleaks/gitleaks

Git履歴に潜む秘密情報を検出する定番CLI — パスワードやAPIキー、トークンなどの秘密情報をgitリポジトリやファイル、標準入力から検出するGo製CLIツールです。正規表現ベースの検出エンジンとCI/CD連携（GitHub Action）で高い実用性を持ち、DevSecOpsの定番として広く使われています。現在は機能完成版として保守フェーズに入り、開発の軸は後継のBetterleaksへ移行中です。

Find secrets with Gitleaks 🔑

trufflesecurity/trufflehog

漏洩シークレットを検出・検証・分析するTruffleHog — Git履歴やチャット、Wikiなど様々な場所から漏洩したAPIキーやパスワードなどのシークレットを検出し、800種類以上に分類、さらに実際に有効かどうかを自動でログイン検証できるツールです。検出だけでなく生死判定まで行える点が既存のシークレットスキャナーとの差別化点で、DevSecOpsのパイプラインやpre-commitフックへの組み込みにも向いています。

Find, verify, and analyze leaked credentials

qeeqbox/social-analyzer

1000以上のSNSから人物プロフィールを横断検索 — API・CLI・Webアプリの3形態で1000以上のSNSを横断し、特定の人物プロフィールを検索できるOSINTツールです。複数の検出手法を組み合わせた評価ロジックで誤検知を抑え、サイバーいじめや誹謗中傷の調査など法執行機関でも実際に利用されています。

API, CLI, and Web App for analyzing and finding a person's profile in 1000 social media \ websites

smicallef/spiderfoot

OSINT自動化で攻撃対象領域を可視化するSpiderFoot — 200以上のモジュールで多数のデータソースを統合し、OSINT調査を自動化するツールです。Web UI/CLI両対応、YAML設定可能な相関分析エンジンやTOR連携、Nmapなど外部ツール連携も備え、脅威インテリジェンスや攻撃対象領域の把握を効率化します。2012年から継続開発されている点も信頼性の証です。

SpiderFoot automates OSINT for threat intelligence and mapping your attack surface.

NVIDIA/SkillSpector

インストール前にAIエージェントスキルの安全性を診断 — Claude CodeやCodex、MCP向けのスキルをインストール前に静的解析するセキュリティスキャナーです。71種の脆弱性パターンで、プロンプトインジェクションやデータ流出、サプライチェーンリスクなどを検出します。実データでは全スキルの26%に脆弱性、5%に悪意の疑いがあるとされ、NVIDIA Verified Skillsパイプラインの一部として信頼できるスキル配布を支えます。

Security scanner for AI agent skills. Detect vulnerabilities, malicious patterns, security risks, prompt injection, data exfiltration, and supply-chain risks in Claude Code, Codex, and MCP skills before you install them.

BishopFox/sliver

Bishop Fox製OSSのC2レッドチームフレームワーク — mTLS・WireGuard・HTTP(S)・DNSなど多様なC2通信に対応し、macOS/Windows/Linux向けにバイナリごとに暗号鍵が異なるインプラントを動的生成できるレッドチーム演習用フレームワークです。CobaltStrikeの代替として使える本格的なOSS C2として注目されています。

Adversary Emulation Framework

oritera/Cairn

ペンテストを一事例とする汎用AI状態空間探索エンジン — Cairnは、起点とゴールが既知で経路が未知の問題を状態空間探索として扱う汎用AIエンジンです。固定の役割やワークフローを定義せず、自律的なペネトレーションテストで有効性が実証されています。CTFや脆弱性調査など同じ構造を持つ問題にも応用可能です。

Cairn is a general-purpose AI state-space search engine, validated first on autonomous penetration testing. Sometimes misspelled as Carin.

Asymptote-Labs/agent-beacon

AIコーディングエージェント横断の自己改善型メモリ層 — Claude Code・Cursor・Codexなど20以上のエージェントハーネスのセッション履歴を記録し、成功したワークフローや修正・デバッグパターンを再利用可能な知識に変換するOSSです。一度あるエージェントが解決した問題を、他のエージェントがゼロから学び直す必要をなくす点が新しく、複数ツールを併用する開発者に刺さります。

The cross-harness, self-improving memory layer for AI agents. Join our community: https://discord.com/invite/zdNChS2fBu

Autumn-27/ScopeSentry

分散ノード対応のバグバウンティ統合偵察ツール — 資産マッピング、サブドメイン列挙、情報漏洩検知、脆弱性スキャン、ディレクトリスキャン、サブドメインテイクオーバー検知、クローラ、ページ監視を一つに統合したツールです。複数ノードを構築し任意のノードでスキャンタスクを実行できるため、新しい脆弱性が出た際に対象資産の関連コンポーネントを迅速に確認できます。プラグイン市場やテンプレートも備え拡張性に優れます。

ScopeSentry-Cyberspace mapping, subdomain enumeration, port scanning, sensitive information discovery, vulnerability scanning, distributed nodes

iudicium/pryingdeep

Prying Deep - An OSINT tool to collect intelligence on the dark web.

antropos17/Aegis

AIエージェントをローカル監視するWindows向けセキュリティダッシュボード — AEGISはElectron/Svelte製のデスクトップアプリで、Claude CodeなどのAIコーディングエージェントをローカルで監視します。プロセスツリーやファイル・ネットワーク活動、トークン使用量、異常検知に加え、オプトインの行動ポリシーやMCPゲートウェイ、実験的なHyper-Vゲスト実行も備え、クラウド非依存の監視を求める開発者向けです。

Windows-first desktop oversight for AI agents: live monitoring, local security reviews, token usage, audit reports and opt-in action policies/MCP gateways. Experimental Hyper-V guest execution; macOS/Linux experimental.

tmatens/compose-lint

Security-focused linter for Docker Compose files. Catches dangerous misconfigurations before they reach production. Grounded in OWASP and CIS Docker Benchmark.