Ship Safe，用于编码代理的开源安全扫描器

在发货前查找有风险的代码、人工智能代理漏洞和供应链问题。网站·文档·安全和数据流·基准·定价·博客·贡献 Ship Safe CLI Ship Safe 是一款面向现代软件团队的 AI 安全扫描仪。它在您的存储库中本地运行，查找应用程序代码、AI 代理、MCP 配置、提示、依赖项、CI/CD、机密和云相邻配置中的问题，然后帮助您检查和应用安全修复。使用一个命令开始扫描：npx ship-safe 无需注册。扫描不需要 API 密钥。离线工作以进行核心检查。 AI 支持的红队模式使用您配置的提供商（如果可用）。使用 --no-ai 来保证完全本地扫描。提供商支持的分类、深度分析和 GPT-Red 在尽力进行凭证屏蔽后将有界上下文直接发送到您选择的提供商。有关确切的边界和上下文限制，请参阅安全和数据流。快速入门 # 交互式 REPL：在一次会话中扫描、修复和提出问题 npx ship-safe # 全面审核：秘密 + 29 个代理 + deps + 补救计划 npx Ship-safe 审核。 # 用于代理可读内容的 AI 代理红队场景 npx ship-safe red-team . --gpt-red # 交互式修复代理：计划、比较、批准、验证 npx 船舶安全代理。 npx 船舶安全代理。 --severity critical # 仅限 npx 船舶安全代理的关键发现。 --branch --pr # 修复分支 + 打开 PR # 撤消上次修复 npx ship-safe undo # CI/CD 模式 — 在任何关键发现上失败 npx ship-safe ci 。 --sarif results.sarif npx 船舶安全 ci 。 --fail-on high # stricter: 关键或高 Ship Safe 发现的区域示例 AI 和 LLM 安全 提示注入、代理劫持、过度代理、内存中毒、RAG 中毒、不安全工具调用 MCP 和代理配置 过于广泛的工具权限、中毒注册表、不可信传输、危险白名单 应用程序安全 SQL/NoSQL 注入、XSS、SSRF、身份验证绕过、路径遍历、不安全 API 路由 秘密和合规性 API密钥、令牌、凭据、PII、git 历史记录中泄露的秘密 供应链 误植、依赖关系混淆、有风险的安装脚本、未固定的 AI 操作 CI/CD 管道中毒、未固定的 GitHub 操作、秘密日志记录、不安全的工作流程触发器 工作原理 本地扫描 - Ship Safe 使用目标代理检查您的存储库，并跳过不适用的检查。审查结果 - 结果包括严重性、文件位置、证据和建议的补救措施。通过控制进行修复 - 代理提出计划和差异，在编写之前询问，验证结果，并保持更改可逆。 Gate in CI - 使用安全的 ci 使有风险的构建失败并将 SARIF 上传到 GitHub 代码扫描。为什么开发人员使用它 为 AI 原生应用程序构建：捕获代理、MCP 服务器、提示、RAG 流、托管代理配置和 AI 驱动的 CI 中的风险。快速本地反馈：在 PR 之前、审核期间或在 CI 内运行它，而无需将代码发送到托管扫描仪。修复是可审查的：每个建议的更改在触及您的文件之前都会显示为差异。适用于您的堆栈：JavaScript、TypeScript、Python、配置文件、基础设施文件、GitHub Actions 等。开源核心：MIT 许可的 CLI，包含文档、示例和不断发展的代理系统。免费 CLI，付费团队工作流程 开源 CLI 是本地扫描任何存储库的最快方法。当您需要围绕同一扫描仪托管工作流程时进行升级： 需要 使用本地扫描、审核和代理辅助修复 免费 CLI 扫描历史记录、云仪表板和 PDF 报告 专业版共享工作区、PR Guardian、团队报告和协作 团队比较计划（位于 shipsafe.sh/pricing）。 Ship Safe Cloud 是用于扫描历史记录、PR Guardian、计费和团队工作流程的托管仪表板，是在私有存储库中开发的，因为它包含商业产品代码和托管基础设施工作流程。公共船舶安全存储库仍然专注于 MIT 许可的 CLI、安全代理、规则、固定装置、CI 集成和文档。请参阅 Ship Safe Cloud 了解存储库边界。安全代理 所有代理并行运行。每个项目都会自动跳过不相关的项目。代理类别 检测内容 InjectionTester 代码 漏洞 SQL/NoSQL 注入、命令注入、XSS、路径遍历、XXE、ReDoS、原型污染 AuthBypassAgent Auth JWT 缺陷（alg:none、弱机密）、CSRF、OAuth 配置错误、BOLA/IDOR、TLS 绕过 SSRFProber SSRF fetch/axios 中的用户输入、云元数据端点、内部 IP SupplyChainAudit Supply链域名仿冒、通配符版本、可疑安装脚本、依赖关系混淆 ConfigAuditor Config Docker（root 用户，：最新）、Terraform、Kubernetes、CORS、CSP、Firebase、Nginx SupabaseRLSAgent 客户端代码中的身份验证 service_role 密钥、没有 RLS 的表、匿名密钥插入 LLMRedTeam AI/LLM OWASP LLM Top 10：提示注入、过度代理、系统提示泄漏 MCPSecurityAgent AI/LLM MCP服务器滥用、工具中毒、误植、未经验证的输入 AgenticSecurityAgent AI/LLM OWASP Agentic AI 前 10 名：代理劫持、权限提升、Kim