static-analysis

morluto/rea

AIエージェントで何でも逆解析するMCPツール — REAはネイティブバイナリ、JS/Electronアプリ、.NETアセンブリ、Webサイトを解析するツールをAIエージェントに接続するMCPサーバーです。気になる機能をソースコードなしで調査し、仕組みを証拠付きで説明し、自分のプロダクト用の実装まで提案できます。Ghidra/Hopperとも連携し、CLIからも同じツールを利用可能です。

Reverse engineer anything with agents, from app behavior down to native binaries.

astral-sh/ruff

Rust製の爆速Pythonリンター＆フォーマッター — FlakeやBlackなどの既存ツールに比べて10〜100倍高速なPython用リンター兼フォーマッターです。900以上の組み込みルールでFlake8・isort・Blackと互換性を保ちつつ、単一ツールに機能を統合しているのが特徴です。pipで簡単導入でき、大規模モノレポにも対応します。

An extremely fast Python linter and code formatter, written in Rust.

tirth8205/code-review-graph

ローカルで動くコード知識グラフ for AI — tree-sitterでコードベースを解析し、永続的なナレッジグラフをローカルに構築するMCP/CLIツールです。AIコーディングツールが必要な箇所だけを参照できるようにし、コードレビューや大規模リポジトリ作業でのコンテキスト量をベンチマーク付きで削減します。

Local-first code intelligence graph for MCP and CLI. Builds a persistent map of your codebase so AI coding tools read only what matters, with benchmarked context reductions on reviews and large-repo workflows.

MobSF/Mobile-Security-Framework-MobSF

モバイルアプリ専用の統合セキュリティ診断基盤 — Android・iOS・Windows Mobileアプリを対象に、静的解析と動的解析を1つのプラットフォームで行える自動セキュリティ診断フレームワークです。APK/IPA/APPXやソースコードに対応し、REST APIとCLIでCI/CDやDevSecOpsパイプラインに組み込める点が特徴です。ペネトレーションテストやマルウェア解析、プライバシー診断にも活用できます。

Mobile Security Framework (MobSF) is an automated, all-in-one mobile application (Android/iOS/Windows) pen-testing, malware analysis and security assessment framework capable of performing static and dynamic analysis.

anchore/syft

コンテナ・ファイルシステムからSBOMを生成するCLI/ライブラリ — コンテナイメージやファイルシステムからSPDX/CycloneDX形式のSBOMを生成するツールです。Alpine・Debian・Go・Python・Javaなど多数のパッケージエコシステムに対応し、脆弱性スキャナGrypeと組み合わせることで開発・セキュリティ運用の両方に活用できます。

CLI tool and library for generating a Software Bill of Materials from container images and filesystems

repowise-dev/repowise

MCP経由でコードベースを丸ごと理解するエージェント基盤 — コードや呼び出しグラフ、git履歴、テスト、設計判断をローカルで一度インデックス化し、MCP経由でAIエージェントや人間が質問できるツールです。死んだコードの検出や修正優先度の提示、コンパイラ照合済みの高精度な呼び出しグラフが特徴で、CodeScene等の既存ツールより多くの不具合を検出できると主張しています。

Codebase intelligence for AI and humans: code health scores, auto-generated docs, git analytics, dead code detection, and architectural decisions via MCP.

MG1937/ASC

前処理不要で高速化した次世代Androidデコンパイラ — ASCは巨大なAPK解析にありがちな重い前処理（フルインフレートやグローバル索引構築）を廃し、圧縮バイトストリームやR8コンパイラの最適化特性を逆手に取ってミリ秒単位でコード検索・抽出を行うステートレスなエンジンです。AIエージェントやモバイルセキュリティ研究者が高速に逆コンパイル解析を行うための新しいアプローチとして注目されています。

ASC is a super FAST and lightweight Android decompiler designed for Agents/Mobile Researchers.

winnin/farol

AIレビューの後に使う、PRのリスク可視化ツール — farolは、AIによるコードレビューの後段で使う無料のCLI／GitHub Actionです。マージ時に最もリスクの高いファイルや影響範囲、差分カバレッジ、契約違反をコンパイラ視点の静的解析で提示し、承認者が注意すべき箇所を明確にします。TypeScript/React、Go、Pythonに対応し、ブロックしないシャドーモードで動作します。

Know the risk of merging a pull request, and where it lives. Free, open-source CLI and GitHub Action: after your AI review, farol shows the riskiest files, what they reach, diff coverage and contract breaks. TypeScript/React, Go, Python.

tmatens/compose-lint

Security-focused linter for Docker Compose files. Catches dangerous misconfigurations before they reach production. Grounded in OWASP and CIS Docker Benchmark.

mpyw/declscope

Goのパッケージをフラットなまま守る静的解析ツール — Goには「exported」と「package全体に見える」の2段階しか可視性がなく、ファイル単位の境界を作るには分割してexportするしかありませんでした。declscopeはビルド時チェックでファイル限定のprivateを実現し、パッケージを分割せずに内部境界を守れるlinterです。import循環や過剰なexportを避けたい開発者に刺さります。

Keep Go packages flat without losing their internal boundaries: file-level private and package scopes for declarations, methods and struct fields

La5u/Parsimony

AIコーディングの「簡潔さ」を測るベンチマーク — AIエージェントがSWE-bench等の公開ベンチマークで生成したパッチを静的解析し、statementや呼び出しなどの「コーディング単位」の増減を数値化します。コードを実行せず公開データから誰でも再計算でき、タスクを解いた際に追加したコード量が少ないモデルほど上位にランクされる独自のリーダーボードを提供します。

Measures how much code AI coding agents add, from patches benchmarks already publish