Awesome GitHub RepositoriesSource Code Vulnerability Scanning

Edict is a multi-agent orchestration system and framework designed to coordinate specialized large language model agents. It functions as a workflow designer and orchestrator that decomposes complex objectives into structured plans, using directed acyclic graphs and role-based hierarchies to execute sub-tasks. The system is distinguished by its event-driven architecture, utilizing a publish-subscribe event bus and transactional outbox to manage agent communications and task transitions. It features a dedicated skill management system that allows for the importation, updating, and sandboxed ex

gosec is a static analysis security tool designed to scan Go source code for vulnerabilities and common coding flaws. It functions as a security analyzer that inspects the abstract syntax tree to identify insecure function calls, API usage, and potential security risks. The tool distinguishes itself by mapping detected vulnerabilities to Common Weakness Enumeration identifiers for standardized reporting and integrating with external AI models to suggest code fixes for identified issues. Its capabilities cover the detection of injection vulnerabilities, hardcoded credentials, weak cryptograph

Bandit is a static analysis security testing tool and vulnerability detection scanner for Python source code. It functions as a security-focused linter and static analyzer that identifies common vulnerabilities and architectural flaws without executing the program. The tool utilizes an abstract syntax tree to analyze code patterns and identifies risky function calls or insecure configurations. It employs a plugin-based rule engine to decouple scanning logic from individual security checks and supports configuration-driven filtering to exclude specific files or ignore certain warnings. The sy

ClamAV - Documentation is here: https://docs.clamav.net

Superagent is a framework for AI assistant orchestration and agent security. It provides the tools to build intelligent assistants that integrate external APIs and maintain conversation memory to automate complex tasks. The project focuses on AI agent security through adversarial testing, red teaming, and the detection of prompt injections and malicious tool calls. It includes automated vulnerability patching, which scans codebases and configurations for security flaws and generates pull requests with fixes. The platform supports retrieval augmented generation by connecting language models t

AllAboutBugBounty is a curated collection of bug bounty techniques and payloads for web application security testing. It serves as a reference resource covering common web vulnerabilities and exploitation methods for security researchers, providing a structured approach to identifying and exploiting web application security flaws in bug bounty programs. The repository covers a wide range of attack categories including authentication bypass, cross-site scripting injection, server-side request forgery, web cache poisoning, and business logic abuse. It includes techniques for bypassing access co

This project is a framework for the autonomous discovery and remediation of security vulnerabilities using large language model agents. It functions as a security research pipeline that automates the process of reconnaissance, crash discovery, and exploitability analysis to identify reproducible software bugs. The system distinguishes itself by utilizing a containerized agent sandbox that restricts network egress and filesystem access to prevent host compromise. It employs a specialized patch generation and validation loop, which includes adversarial re-attack testing where a fresh agent atte

jscpd is a code duplication detector that scans source code across 223 languages to find identical or near-identical copy-pasted blocks using a rolling hash algorithm. It is built with a Rust core for high performance, exposed through a Node.js API and CLI, and can be run as a standalone binary with no runtime dependencies. The tool detects duplicates in embedded languages within Vue, Svelte, Astro, and Markdown files by tokenizing each language block separately, and it supports extensionless scripts via shebang detection. The project distinguishes itself through its integration capabilities

Revive ist ein konfigurierbarer Linter für statische Analysen und ein Tool für die Codequalität für Go. Es analysiert Quellcode, um häufige Programmierfehler zu erkennen, Stilverstöße zu identifizieren und Sprachstandards durchzusetzen, ohne das Programm auszuführen. Das Projekt fungiert sowohl als Command-Line-Tool als auch als einbettbare Analyse-Engine. Dies ermöglicht es, die Kern-Linting-Logik als Bibliothek in andere Go-Anwendungen für die programmatische Code-Inspektion zu integrieren. Das Tool unterstützt benutzerdefinierte Regelsätze und Schweregrade, die über eine strukturierte Konfigurationsdatei verwaltet werden. Es bietet Funktionen zum Unterdrücken spezifischer Warnungen mittels Inline-Kommentaren, zum Ausschließen von Dateien von der Analyse und zum Erweitern der Engine um benutzerdefinierte Analyseregeln. Analyseergebnisse können in mehreren standardisierten Formaten für die Integration in externe Tools exportiert werden.

The Snyk CLI is a command-line security scanner that detects known vulnerabilities across open-source dependencies, proprietary application code, container images, and infrastructure-as-code configuration files. It also serves as a platform management tool, allowing users to configure organizations, users, SSO, and reporting from the terminal rather than the web dashboard. The CLI integrates directly into development workflows, enabling scanning within IDEs, build pipelines, and version control systems. It implements static analysis with interfile data flow analysis to find complex security f

Dieses Projekt ist ein KI-gestütztes Tool für statische Analyse und ein automatisierter Schwachstellenscanner, der darauf ausgelegt ist, Sicherheitslücken wie Injektionen und Authentifizierungsumgehungen zu erkennen. Es verwendet große Sprachmodelle, um semantische Schlussfolgerungen über mehrere Programmiersprachen hinweg durchzuführen und Schwachstellen innerhalb von Codeänderungen zu identifizieren. Das Tool arbeitet als GitHub Action, die in CI-Pipelines integriert wird, um Pull-Request-Diffs zu analysieren. Es konzentriert sich auf modifizierte Codezeilen, um neue Risiken gezielt anzugehen, und meldet Ergebnisse durch das Posten automatisierter Kommentare direkt im Pull Request. Die Analyse wird durch anpassbare Sicherheitsrichtlinien und externe Regelinjektion gesteuert, was projektspezifische Anweisungen ermöglicht. Diese benutzerdefinierten Regeln und Filter werden verwendet, um Rauschen zu reduzieren und Ergebnisse mit geringer Auswirkung zu verwerfen, um Sicherheitsrisiken mit hoher Konfidenz zu priorisieren.

Credo ist ein Tool zur statischen Analyse und ein Linter für Elixir. Es fungiert als Code-Qualitätsanalysator, der den Quellcode scannt, um stilistische Inkonsistenzen, häufige Fehler und potenzielle Sicherheitslücken zu identifizieren. Das Tool bietet ein anpassbares Framework zum Definieren und Testen spezialisierter Regeln, um projektspezifische Codierungsstandards durchzusetzen. Es identifiziert komplexe Codefragmente und Duplikate, um Möglichkeiten für Refactoring und Vereinfachung aufzuzeigen. Seine Funktionen decken automatisierte Code-Reviews, die Durchsetzung von Elixir-Codierungsstandards und Echtzeit-Feedback für Entwickler durch Editor-Integrationen ab.

gocode ist ein Language-Server-Backend und Autovervollständigungs-Daemon für die Programmiersprache Go. Er fungiert als statischer Code-Analysator und Symbol-Indexer, der Texteditoren Echtzeit-Vorschläge für Bezeichner und Symbole liefert. Das Projekt nutzt eine Client-Server-Daemon-Architektur, um einen persistenten Hintergrundprozess aufrechtzuerhalten und den Overhead beim Neuladen von Paket-Metadaten für jede Anfrage zu vermeiden. Es verwendet ein zweistufiges Metadaten-Caching-System und parst kompilierte Paket-Binaries, um schnelle Symbol-Lookups und das Abrufen von Deklarationen zu ermöglichen. Das System deckt breite Funktionsbereiche ab, einschließlich kontextsensitiver Autovervollständigung für Member-Felder, Funktionssignaturen und Variablen sowie automatischer Code-Formatierung. Es verwaltet die lexikalische Scope-Verfolgung und rekursive Symbolauflösung, um präzise Typ- und Variablenvervollständigungen zu gewährleisten. Administrative Dienstprogramme ermöglichen die Daemon-Konfiguration, Steuerung des Zustands und einen Debug-Modus mit detailliertem Logging zur Überwachung des Hintergrundprozesses.

The openvas-scanner is a vulnerability scanner designed to identify security weaknesses and outdated software in target systems. It performs network vulnerability scanning by executing security tests and network attack scripts, as well as conducting local security auditing through static version checks of installed software. The project utilizes community-managed feeds to synchronize and update local security definitions and vulnerability tests. These tests and scan configurations are loaded into the system via container images or manual transfers and stored in a persistent relational databas

Vulture ist ein statisches Analysetool und Linter, das entwickelt wurde, um ungenutzte Variablen, Funktionen und Klassen im Python-Quellcode zu finden. Es arbeitet als Dead-Code-Detektor und Finder für ungenutzten Code, der Quelldateien scannt, um nicht erreichbare Ausdrücke und Importe zu identifizieren, ohne den Code auszuführen. Das Tool verwendet ein konfidenzbasiertes heuristisches Bewertungssystem, um Erkennungen Wahrscheinlichkeitswerte zuzuweisen und so zwischen tatsächlich ungenutzten Symbolen und potenziellen False Positives zu unterscheiden. Es unterstützt zudem das Bereinigen von Dead-Code, indem erkannte ungenutzte Klassen und Funktionen nach Zeilenanzahl sortiert werden, um die Entfernung der größten Codeblöcke zu priorisieren. Die Analyseoberfläche umfasst Control-Flow-Reachability-Analyse, Symbol-Referenz-Tracking und die Möglichkeit, False Positives durch Namensmuster, Decorators oder Ignore-Kommentare zu unterdrücken. Vulture unterstützt zudem die Erstellung und Verwaltung von Whitelists über Mock-Module, um spezifische Elemente von nachfolgenden Scans auszuschließen. Projektweite Analyseregeln und Zielpfade können über Konfigurationsdateien verwaltet werden, einschließlich Unterstützung für das TOML-Format.

Latest ist ein macOS-Systemdienstprogramm und ein Tracker für Anwendungs-Updates, der installierte Software überwacht, um verfügbare Versions-Updates zu identifizieren. Es fungiert als Aggregator für Software-Updates und bietet ein zentrales Dashboard zur Verfolgung ausstehender Updates über mehrere Installationsquellen hinweg. Das Tool dient als Viewer für Release-Notes, der detaillierte Changelogs und Versionshistorien in einem konsistenten Layout abruft und anzeigt. Es ermöglicht eine tastaturgesteuerte Navigation, sodass Benutzer Update-Listen durchsuchen und Installationen über eine sekundäre Eingabeleiste auslösen können. Die Anwendung deckt Softwarewartung und einheitliches Update-Management ab, indem sie verschiedene Quellen scannt, um Update-Benachrichtigungen in einer einzigen Oberfläche zu konsolidieren.

DeepAudit is a privacy-preserving code audit platform that combines multiple specialized AI agents to identify and verify security vulnerabilities in source code. It functions as a local LLM vulnerability scanner, an automated security report generator, and a sandboxed exploit verifier, all operating entirely within an internal network to keep sensitive code and data on premises. What distinguishes DeepAudit is its multi-agent cooperative approach: teams of AI agents jointly plan, analyze, and cross-check findings across the codebase, moving beyond single-pass scanning. The platform also sand

PurpleLlama is a collection of security toolsets and frameworks designed to audit large language model vulnerabilities and implement runtime input-output guardrails. It provides a security evaluation framework and benchmark suite to quantify risks associated with prompt injections and the generation of malicious code. The project includes a content moderator and input-output filters that use a standardized taxonomy to identify and block harmful content, jailbreaking attempts, and insecure commands. It also features capabilities for sensitive document classification to prevent the unauthorized

PurpleLlama is a collection of security components and toolkits designed for large language models. It provides specialized systems including a code security scanner, a content moderation system, a prompt injection firewall, and a security assessment toolkit. The project enables the identification and blocking of jailbreaking attempts and malicious prompts during model inference. It includes capabilities for detecting violating content across multiple languages and modalities and scanning generated code for vulnerabilities to prevent the execution of insecure commands. The framework further