[! ОСТОРОЖНО] ИСПОЛЬЗУЙТЕ НА СВОЙ СТРАХ И РИСК. БУДЬТЕ КРАЙНЕ ОСТОРОЖНЫ. ЭТОТ ЛЮКС предназначен для генерации и выполнения автономно сгенерированного кода, который может быть нестабильны или выполняют неожиданные действия. ИСПОЛЬЗУЙТЕ ЭТО ТОЛЬКО В ISOLATED, ОГРАНИЧЕННЫЕ СРЕДЫ. Никогда не запускайте этот пакет на машине с доступом к производственные системы, конфиденциальные данные или внутренние сети.

[! ВАЖНО] ОТВЕТСТВЕННОЕ ИСПОЛЬЗОВАНИЕ Ии модели недетерминированы и могут галлюцинировать находки или создавать неправильные участки. Все результаты должны быть проверяется экспертом по безопасности вручную перед тем, как сообщить. Не делать массовые файлы непроверенных, сгенерированных ИИ отчётов для поддерживающих открытым исходным кодом. A отсутствие автоматического воспроизведения уязвимости не означает окончательно это ложноположительный результат, и успешный воспроизводитель не гарантирует наличие ошибки эксплуатируем во всех контекстах. Используйте богомола ответственно.

[! ВНИМАНИЕ] Скан pull request не протестирован. Действие GitHub в action/, рабочие процессы mantis-pr-scan и mantis-knowledge-refresh под .github/workflows/ и reference/scripts/setup_github_action.sh были просмотрены и отработаны по заготовкам, но пока не были пропущены сквозь цель

Mantis: Portable Toolkit for Building Secure Software

[!CAUTION] USE AT YOUR OWN RISK. BE EXTREMELY CAREFUL. This suite is designed to generate and execute autonomously generated code that may be unstable or perform unexpected actions. USE THIS ONLY IN ISOLATED, RESTRICTED ENVIRONMENTS. Never run this suite on a machine with access to production systems, sensitive data, or internal networks.

[!IMPORTANT] RESPONSIBLE USE AI models are non-deterministic and can hallucinate findings or generate incorrect patches. All findings must be manually verified by a security expert before being reported. Do not mass-file unverified, AI-generated reports to open-source maintainers. A failure to automatically reproduce a vulnerability does not definitively mean it is a false positive, nor does a successful reproducer guarantee the bug is exploitable in all contexts. Use Mantis responsibly.

[!WARNING] The pull request scan is untested. The GitHub Action in action/, the mantis-pr-scan and mantis-knowledge-refresh workflows under .github/workflows/, and reference/scripts/setup_github_action.sh have been reviewed and exercised against stubs, but have not yet been run end-to-end against a live project. Do not use the action to gate merges. The status note at the top of reference/docs/github-action.md lists what execution has not verified and will be removed when it has.

Mantis is a set of skills along with an ADK reference harness for building secure software in the new AI era of software development.

• skills/ – the method: the skills an agent loads on demand, from threat modelling through research, review, patching and reporting.
• reference/ – an ADK harness that runs the method as a pipeline, with its own two skills to configure and launch it. Meant to be adapted; works as is.
• action/ – a GitHub Action that runs the harness over a pull request (see the warning above).

Getting Started

First, install python3-venv such as with sudo apt install python3-venv, then run the install script. Mantis comes with automated configuration and launcher tools (mantis-configure and mantis-launch):

cd reference && ./install.sh

# 0. Authenticate Google Cloud Application Default Credentials (ADC) if using Vertex AI
gcloud auth application-default login

# 1. Fast Configuration & Capability Auto-Detection (or --interactive wizard)
python3 scripts/configure.py --auto

# 2. Fast Preflight Validation (~1s) & Live Reachability Probe
python3 scripts/configure.py --test --probe

# 3. Launch Vulnerability Review Campaign (file or repository)
./run.sh path/to/code            # a file or a directory

# 4. (Optional) Tell the planner what to hunt for, in plain language (standard pipeline)
./run.sh path/to/code --focus "look for IDOR"

# 4b. (Optional) Leave vendored or generated code out of the scan