asamassekou10/ship-safe

Независимый агент по безопасности для программного обеспечения, написанного ИИ. Он находит проблемы, проверяет, реальны ли они, и показывает вам доказательства.
Веб-сайт · Документация · Безопасность и поток данных · Ориентир · Цены · Блог · Внести вклад

Безопасность корабля CLI

Ship Safe работает локально в вашем репозиторийе и состоит из двух слоёв.

детерминированный движок обнаруживает проблемы в коде приложений, агентах ИИ, конфигурациях MCP, подсказках, зависимостях, CI/CD, секретах и конфигурациях, смежных с облаком. Быстрый, повторяемый и бенчмаркированный — это уровень сенсоров.

Затем расследующий слой определяет ценность результатов. Он отслеживает значение, которое достигает поглотителя, ищет в проекте элементы, которые по правилу отсутствуют, строит цепочки атак по конфигурациям, которых нет ни один файл, и — когда вы просите — проверяет утечку ключа по его провайдеру. Каждое заключение содержит проезд, который к нему дошёл, и строки, которые он читает:

Реальный выход из безопасного исследования корабля против OWASP NodeGoat. Заражённое значение деструктурируется в файле маршрута и передаётся в DAO в трёх каталогах отсюда.

Начните с одной команды:

Нет регистрации. Для сканирования не требуется ключ API. Работает офлайн для проверки ядра.

The independent security agent for AI-written software. It finds issues, investigates whether they are real, and shows you the evidence. Website · Docs · Security & Data Flow · Benchmark · Pricing · Blog · Contribute

Ship Safe CLI

Ship Safe runs locally in your repo and works in two layers.

A deterministic engine finds issues across application code, AI agents, MCP configs, prompts, dependencies, CI/CD, secrets, and cloud-adjacent configuration. Fast, repeatable, and benchmarked — this is the sensor layer.

An investigation layer then decides what the findings are worth. It traces the value that reaches a sink, searches the project for controls a rule says are missing, builds attack chains across configuration no single file contains, and — when you ask it to — probes a leaked key against its provider. Every conclusion carries the pass that reached it and the lines it read:

CONFIRMED — traced end to end (10)

    NoSQL Injection via $where [high]
    app/data/allocations-dao.js:78  NOSQL_INJECTION_WHERE
    why: threshold is assigned from the HTTP request and reaches the sink without validation on that path.
    decided by: dataflow
      1. value reaches NOSQL_INJECTION_WHERE here  app/data/allocations-dao.js:78
      2. getByUserIdAndThreshold is called here with threshold  app/routes/allocations.js:23
      3. threshold is assigned here  app/routes/allocations.js:20
    fix: Replace $where with standard MongoDB operators ($eq, $gt, $regex, etc.)