security-tools

aquasecurity/trivy

あらゆるものをスキャンする統合セキュリティツール — コンテナイメージやKubernetes、コードリポジトリ、クラウドなど多様な対象から脆弱性・設定ミス・秘密情報・SBOMを一括検出できるスキャナーです。個別ツールを組み合わせずに済むため、DevSecOpsの現場で広く採用されており、GitHub Actionsなど各種エコシステムとの連携も充実しています。

Find vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more

vxcontrol/pentagi

自律AIエージェントが攻める侵入テスト基盤 — PentAGIは複数のAIエージェントが協調し、ペネトレーションテストのタスクを自律的に遂行するセキュリティツールです。OpenAIやAnthropicなど主要LLMプロバイダに対応し、Dockerでエージェントを安全に隔離実行できる点が特徴。攻撃的セキュリティ検証を自動化したいセキュリティ研究者やレッドチームに刺さる設計です。

Fully autonomous AI Agents system capable of performing complex penetration testing tasks

gitleaks/gitleaks

Git履歴に潜む秘密情報を検出する定番CLI — パスワードやAPIキー、トークンなどの秘密情報をgitリポジトリやファイル、標準入力から検出するGo製CLIツールです。正規表現ベースの検出エンジンとCI/CD連携（GitHub Action）で高い実用性を持ち、DevSecOpsの定番として広く使われています。現在は機能完成版として保守フェーズに入り、開発の軸は後継のBetterleaksへ移行中です。

Find secrets with Gitleaks 🔑

trufflesecurity/trufflehog

漏洩シークレットを検出・検証・分析するTruffleHog — Git履歴やチャット、Wikiなど様々な場所から漏洩したAPIキーやパスワードなどのシークレットを検出し、800種類以上に分類、さらに実際に有効かどうかを自動でログイン検証できるツールです。検出だけでなく生死判定まで行える点が既存のシークレットスキャナーとの差別化点で、DevSecOpsのパイプラインやpre-commitフックへの組み込みにも向いています。

Find, verify, and analyze leaked credentials

qeeqbox/social-analyzer

1000以上のSNSから人物プロフィールを横断検索 — API・CLI・Webアプリの3形態で1000以上のSNSを横断し、特定の人物プロフィールを検索できるOSINTツールです。複数の検出手法を組み合わせた評価ロジックで誤検知を抑え、サイバーいじめや誹謗中傷の調査など法執行機関でも実際に利用されています。

API, CLI, and Web App for analyzing and finding a person's profile in 1000 social media \ websites

smicallef/spiderfoot

OSINT自動化で攻撃対象領域を可視化するSpiderFoot — 200以上のモジュールで多数のデータソースを統合し、OSINT調査を自動化するツールです。Web UI/CLI両対応、YAML設定可能な相関分析エンジンやTOR連携、Nmapなど外部ツール連携も備え、脅威インテリジェンスや攻撃対象領域の把握を効率化します。2012年から継続開発されている点も信頼性の証です。

SpiderFoot automates OSINT for threat intelligence and mapping your attack surface.

NVIDIA/SkillSpector

インストール前にAIエージェントスキルの安全性を診断 — Claude CodeやCodex、MCP向けのスキルをインストール前に静的解析するセキュリティスキャナーです。71種の脆弱性パターンで、プロンプトインジェクションやデータ流出、サプライチェーンリスクなどを検出します。実データでは全スキルの26%に脆弱性、5%に悪意の疑いがあるとされ、NVIDIA Verified Skillsパイプラインの一部として信頼できるスキル配布を支えます。

Security scanner for AI agent skills. Detect vulnerabilities, malicious patterns, security risks, prompt injection, data exfiltration, and supply-chain risks in Claude Code, Codex, and MCP skills before you install them.

BishopFox/sliver

Bishop Fox製OSSのC2レッドチームフレームワーク — mTLS・WireGuard・HTTP(S)・DNSなど多様なC2通信に対応し、macOS/Windows/Linux向けにバイナリごとに暗号鍵が異なるインプラントを動的生成できるレッドチーム演習用フレームワークです。CobaltStrikeの代替として使える本格的なOSS C2として注目されています。

Adversary Emulation Framework

Autumn-27/ScopeSentry

分散ノード対応のバグバウンティ統合偵察ツール — 資産マッピング、サブドメイン列挙、情報漏洩検知、脆弱性スキャン、ディレクトリスキャン、サブドメインテイクオーバー検知、クローラ、ページ監視を一つに統合したツールです。複数ノードを構築し任意のノードでスキャンタスクを実行できるため、新しい脆弱性が出た際に対象資産の関連コンポーネントを迅速に確認できます。プラグイン市場やテンプレートも備え拡張性に優れます。

ScopeSentry-Cyberspace mapping, subdomain enumeration, port scanning, sensitive information discovery, vulnerability scanning, distributed nodes

Asymptote-Labs/agent-beacon

AIコーディングエージェント横断の自己改善型メモリ層 — Claude Code・Cursor・Codexなど20以上のエージェントハーネスのセッション履歴を記録し、成功したワークフローや修正・デバッグパターンを再利用可能な知識に変換するOSSです。一度あるエージェントが解決した問題を、他のエージェントがゼロから学び直す必要をなくす点が新しく、複数ツールを併用する開発者に刺さります。

The cross-harness, self-improving memory layer for AI agents. Join our community: https://discord.com/invite/zdNChS2fBu