Penthera

---

概要

Penthera は、お使いのマシン上でアプリ、その依存関係、AI コーディングツールをチェックします。承認を得たうえで、可能な問題を修正します。すべての検出結果は、file:line 形式の証拠を確認できるルールに基づいています。モデルが提案し、ルールが判断します。

Penthera はオープンな研究開発プロジェクトでもあります。すべてのチェックを公開の場で測定し、良い結果も悪い結果も公表することで、どの程度信頼できるかを確認できるようにしています。

既知の種類の問題を検出しますが、未知の問題は検出しません。人間によるペネトレーションテストの代わりにはなりません。

30 秒で開始

Node.js 22 以降が必要です。インストールもアカウントも不要です。

ターミナルで実行します。 プロジェクトフォルダーで次を実行してください。

npx penthera

セットアップをオフラインで検出し、チェック対象を尋ねた後、分野ごとの評価と、最初に修正すべき 3 項目を提示します。稼働中のアプリをスキャンするのは、そのアプリが自分のものだと確認した後だけです。コミットもプッシュも行いません （ガイド付きスタート）。

コーディングエージェントでスキルとして使う場合。 続けて「アプリのセキュリティ問題をスキャンして」と依頼します。

npx skills add danoszz/penthera

コーディングエージェントで MCP サーバーとして使う場合。 Claude Code、 Cursor、Codex、VS Code、Windsurf 向けの読み取り専用ツール 6 個が、1.9.0 で追加されました。バージョンを固定してください。

claude mcp add penthera -- npx -y [email protected] mcp

Claude Code でプラグインとして使う場合。 Claude Code のプロンプトから実行します。

/plugin marketplace add danoszz/penthera
/plugin install penthera@penthera

Gemini CLI で拡張機能として使う場合。 同じバージョン固定の MCP サーバーを使います。

gemini extensions install https://github.com/danoszz/penthera

その他のクライアントについては、docs/commands/mcp.md をご覧ください。スキルをインストールするその他の方法については、 docs/commands/skill.md をご覧ください。

コンテナーで実行するには： docker build -t penthera . && docker run --rm penthera https://your-app.example。

できること

flowchart LR
    U["You or your AI agent"] --> P(("Penthera<br/>on your machine"))

    P --> APP["Your app<br/>URL scan, repo scan<br/>runtime advisories"]
    P --> DEP["Your dependencies<br/>capabilities, install firewall<br/>typosquats, upgrade diff"]
    P --> AI["Your AI tooling<br/>skills, MCP, hooks<br/>plugins, rule files"]

    APP --> F[["Findings<br/>severity, confidence<br/>evidence at file:line"]]
    DEP --> F
    AI --> F

    F --> FIX["Fix loop<br/>asks first, local branch<br/>cannot edit its own tests"]
    FIX -. "re-scan proves it" .-> F
    F --> R["Reports and dashboard<br/>terminal, Markdown, SARIF<br/>penthera ui, MCP tools"]
    F --> E["Evidence<br/>signed bundle<br/>NIS2 and CRA drafts"]

    classDef core fill:#0000ed,stroke:#0000ed,color:#ffffff
    classDef box fill:#ffffff,stroke:#000000,color:#000000
    class P core
    class U,APP,DEP,AI,F,FIX,R,E box

デプロイ前

作業	Penthera の機能	コマンド
アプリをテストする	localhost またはプレビュー URL（TLS、ヘッダー、CORS、Cookie、認証、JWT、IDOR、OAuth、OpenAPI。インジェクションとファジングは、確認後に依頼した場合のみ実行）とリポジトリ（ルート、信頼境界、コード実行シンク、AI キーを含むシークレット）をスキャンします	penthera <url> --repo .
ランタイムを確認する	実行中の PHP、nginx、Apache、Node.js、Python、OpenSSL、MongoDB のバージョンが、署名済みアドバイザリパックに記載された既知のアドバイザリの影響を受けるかを確認します	ランタイムアドバイザリ
修正して検証する	ローカルブランチに決定論的な修正レシピを適用し、再スキャンして修正の効果を確認し、結果を記録します。プッシュは行いません	penthera agent --loop
コミット時にブロックする	コミット前に、シークレット、リスクのあるエージェント設定、依存関係の変更を阻止します	penthera hook install

構築に使用するもの

作業	Penthera の機能	コマンド
依存関係を評価する	すべての npm および Python パッケージで実行可能な処理（インストールスクリプト、シェル、ネットワーク、環境変数、難読化）、アップグレードで追加された内容、類似した名前、ライセンスを表示します	penthera deps --base main
インストールを保護する	インストールスクリプトの実行前に、新しいパッケージが追加する内容を表示し、ポリシーに基づいて阻止します	penthera install <pkg>
プルリクエストをレビューする	ロックファイルに触れるすべての PR に、依存関係の機能差分をコメントします	GitHub Action
AI ツールを監査する	スキル、MCP サーバー、フック、プラグイン、ルールファイルを調べ、隠された指示、固定されていないサーバー、過度に広い権限、通知のない更新を検出します	penthera agents --home
エージェントから利用する	6 つの読み取り専用 MCP ツールを利用できます。リポジトリのスキャン、依存関係の確認、AI ツールの監査、ランタイムアドバイザリの確認、検出結果の説明、受動的な URL スキャンを行います	penthera mcp

リリース後

作業	Penthera の機能	コマンド
報告して証拠を示す	開発者、所有者、監査担当者向けのレポート、ハッシュ付きで署名可能な証拠バンドル、NIS2 および CRA への準備状況レポートとドラフトを作成します	penthera <url> --audience auditor --evidence out/
すべてを確認する	127.0.0.1 上のローカルダッシュボード。プログラマー以外向けのシンプルモードでは、1 文の判定、平易な言葉での問題説明、変更ごとに適用、スキップ、停止を選べる確認・修正モードを利用できます。詳細モードでは、依存関係、AI ツール、履歴、証拠が追加されます	penthera ui
監視を続ける	本番環境の変化を検出する定期チェック。証明書、ヘッダー、新しいエンドポイント、バンドル内のキー、SBOM に追加された新しい CVE を確認します	ロードマップ

すべての検出結果には、重大度、信頼度ラベル（confirmed、likely、 potential、needs-human-review）、証拠、根拠となる調査情報が含まれます。 レポートは Markdown、JSON、GitHub コードスキャン用の SARIF 形式で出力されます。終了 コード 1 は、重大または高の検出結果があることを示します。すべてのコマンドとフラグは docs/commands/ に記載されています。コンプライアンス出力は準備状況を確認するための ツールであり、認証ではなく、法的助言でもありません。

AI モード（オプトイン、1.9.0 で新登場）。 penthera --repo . --ai を使うと、ローカルモデルが どのルールにも記述されていない問題を提案できます。Penthera は各提案をルールで確認し、確認されていない内容には「モデルが提案、未検証」のラベルが付けられ、 CI を失敗させることはありません。ルールだけの場合より多くの問題を検出できるかどうかは、まだ測定されていません （AI モード）。

各部分の進捗状況

部分	状況
スキャン：URL、リポジトリ、依存関係、AI ツール、インストール、pre-commit フック	安定：1.x 以降のすべてのリリースに含まれ、テストとリリースゲートでカバーされています
修正ループとローカルダッシュボード（penthera ui）	安定。ダッシュボードは 1.9.0 で再設計されました
MCP サーバー、エージェントスキル、Claude Code プラグイン、Gemini CLI 拡張機能	安定。1.9.0 で追加されました（Gemini 拡張機能は 1.9.0 以降）
エビデンスバンドル、NIS2 と CRA のドラフト	安定。認証ではなく、準備状況を確認するツールとして提供しています
AI モード（--ai）	実験的：ルールのみの場合より多くの問題を検出できるかどうかは、まだ測定されていません（AI モード）
penthera.org でのライブチェック	ベータ：受動的なチェックのみです。利用規約

測定方法

各機能は同じ手順を経ます：手法 → エビデンス → ツール。

• 手法。 方法論では、脅威モデル、ブラックボックス（HTTP）分析とホワイトボックス（ソース）分析で確認できることとできないこと、信頼度モデル、各プローブの誤検出対策について説明しています。各設計上の選択は、その根拠となる研究や規格を引用しています。docs/references.mdには、APA 形式で検証済みの参考文献を 95 件掲載しています。
• エビデンス。 ベンチマークはすべてのリリースで実行され、適合率または再現率が 0.02 を超えて低下するとリリースゲートが失敗します。次に何をリリースするかを決める実験は、データ収集前にdocs/research/prereg/で事前登録され、結果はどちらの場合も公開されます。
• ツール。 検証を通過したものは、レビューと署名を経たリリースに含まれます。検証を通過しなかったものは除外され、ルールはそのまま残ります。

測定項目	結果	サンプル
適合率、同梱ベンチマーク	0.92、95% CI 0.74～0.98	真陽性 22 件、偽陽性 2 件
再現率、同梱ベンチマーク	0.96、95% CI 0.79～0.99	見逃し 1 件、説明
ベンチマーク中にループバックを超えて送信されたリクエスト	0	ネットワークガードにより強制
E10 パイロット、既知の脆弱性を持つアプリ	適合率 0.88、95% CI 0.78～0.93。修正前の再現率 0.07、修正後 0.71（CI 0.45～0.88）	Juice Shop と DVNA の根本原因 14 件（結果）
検出ルール、すべて閲覧可能	このリリースには 132 件：URL スキャンテンプレート 16 件、シークレットおよび AI キーパターン 21 件、依存関係の機能 15 件、AI ツールルール 39 件、修正レシピ 5 件、署名済みルールパック	ルールパック

同梱ベンチマークは、私たちが作成した小規模なラボでの 24 件の検出結果で構成されています。リグレッションの検出には役立ちますが、実環境での精度を測るものではありません。E10 パイロットはラベラー 1 名で実施しており、独立した評価ではありません。同じ 2 つのアプリでの見逃しを確認した後に修正を作成したためです。評価対象から除外していた WebGoat では、再現率は 9 件中 2 件のままでした。実際のプロジェクトでの精度を測定する実験 E1 は事前登録済みですが、まだ実施されていません。信頼区間は Wilson 法によるものです。Penthera で確認できない項目は、既知の制限事項に記載しています。件数を更新するには、npm run docs:numbers と npm run bench を実行してください。

GitHub のボタン、または CITATION.cff からこのリポジトリを引用してください。APA 形式と BibTeX 形式は方法論に記載されています。

信頼できる理由

• ローカルかつオフラインです。 アカウントもテレメトリーもクラウドも不要です。--offline を指定すると、ネットワーク通信は指定したターゲットに限定され、すべてのレポートに接続したホストが記載されます（ネットワークの使用）。
• 決定論的です。 読み取り可能なルールを使用し、file:line で根拠を示します。モデルが修正案や手がかりを提案することはありますが、最終的な判断は決定論的な再スキャンとテストに委ねられます。
• デフォルトでは破壊的な処理を行いません。 デフォルトのスキャンでは攻撃ペイロードを送信しません。ペイロードのテスト（--deep、--fuzz、--all）はオプトイン方式で、ターゲットに紐づいた確認を求め、レート制限が適用されます。
• 変更の前に確認を求めます。 修正ループはローカルブランチで動作し、デフォルトでは変更のたびに確認を求め、プッシュやプルリクエストの作成は行いません。
• 乗っ取られる更新経路がありません。 検出ルールは、レビュー済みリリースに署名付きのバージョン管理されたルールパックとして同梱されています。パスを指定して独自のルールを追加できます（--rules <dir>）。実行時にダウンロードして実行するものはありません。
• 検証可能なリリースです。 信頼できる公開による npm の来歴情報、各バージョンでのメンテナーによる 2FA 付き承認、SHA 固定の CI、CodeQL、OpenSSF Scorecard を採用しています。すべてのリリースは、8 つのゲートからなる内部監査に合格しています（最新のレポート）。

ご自身で検証してください。 空のフォルダーで実行します。

npm install [email protected] && npm audit signatures
npx [email protected] rules list

最初のコマンドは、取得したパッケージの npm レジストリ署名とビルドの来歴情報を検証します。2 つ目のコマンドは、同梱されているすべてのルールパックと、それに署名した鍵を一覧表示します。署名を検証できないパックは、--allow-unsigned-rules を指定しない限り拒否されます。

Penthera が検出するのは既知の問題の種類であり、未知の問題ではありません。また、人間のペンテスターやインシデント対応の代わりにはなりません。Penthera の判断、その限界、およびそれらに異議を唱える方法については、マニフェストと FAQをご覧ください。

他のツールとの併用

Penthera は、すでにお使いのツールと並行して動作します。たとえば、SARIF 出力はそのまま GitHub code scanning に取り込めます。各比較ページでは、他のツールのほうが優れている点と、両者を併用する方法を説明しています。

	主な対象	実行場所	判定方法
Penthera	アプリ、依存関係、AI ツール、修正、EU の証拠	オフラインで、ローカルマシンまたは CI	根拠を示す、読み取り可能な決定論的ルール
Socket	パッケージレジストリ全体のサプライチェーンリスク	クラウドサービス、GitHub App、CLI	AI によるレビューを含む、レジストリ規模のパッケージ分析
Snyk	依存関係、コード、コンテナー、IaC の既知の脆弱性	クラウドサービス、IDE、CLI	厳選された脆弱性データベースと静的解析
GitHub Dependabot and code scanning	既知の CVE に関するアラート、更新プルリクエスト、CodeQL	GitHub	アドバイザリデータベース、CodeQL クエリ
OWASP ZAP	Web アプリの動的テスト	ローカルマシンまたは CI	アクティブおよびパッシブスキャンのルール
Semgrep	自身のコードの静的解析	ローカルマシン、CI、クラウドプラットフォーム	パターンルールと、有料のファイル横断エンジン

Cloudflare のセキュリティ監査スキルを含むすべての比較：docs/compare/。

まずはこちら

知りたいこと	読むページ
アプリを安全にリリースできますか？	初めての方へ、続いてスキャン
このパッケージまたは MCP サーバーは安全ですか？	依存関係、インストール、エージェント
コーディングエージェントから使うにはどうすればよいですか？	MCP サーバー、スキル、エージェントを安全に使う
CI に組み込むにはどうすればよいですか？	GitHub Action、CI でのスキャン
監査担当者には何を渡せばよいですか？	エビデンスバンドル、NIS2、CRA
修正ループを実行するにはどうすればよいですか？	修正と検証、ローカルループ

状況別に、最初のスキャンから調査までを網羅した全体像は docs/index.mdをご覧ください。

倫理と認可

Penthera は、指定された対象に HTTP リクエストを送信します。一部のモード （--deep、--fuzz、--all）では、確認後に攻撃ペイロードを送信します。 スキャンの対象は、自身が所有するもの、テストの書面による許可を得ているもの、 または自身が管理するローカル環境に限ってください。第三者のシステムの調査、 データの持ち出し、サービスの妨害、他者への危害に使用しないでください。 無許可のテストは、米国の CFAA、英国の Computer Misuse Act、および EU の同等の法律など、コンピューターの不正使用に関する法律に違反するおそれが あります。判断に迷った場合は、スキャンしないでください。

本ソフトウェアは「現状有姿」で提供され、保証はありません。作者は不正使用に 対する責任を負いません。また、実行するすべてのスキャンが合法であることを 確認する責任は利用者にあります。penthera.org のライブチェックには、独自の 利用規約があります。

公開開発

変更点、測定内容、今後の予定を一か所にまとめています。

	現状	詳細
最新リリース	npm latest の 1.9.0（2026-10-23）：penthera mcp、オプトインの AI モード、新しい検出ルール、デフォルトのスキャンでは攻撃ペイロードを送信しない仕様、刷新されたダッシュボード	変更履歴、ロードマップ
研究	E10 パイロットを公開：既知の脆弱性がある 2 つのアプリで、修正後の適合率は 0.88、再現率は 0.07 から 0.71（ラベラーは 1 名で、独立した評価ではありません。デフォルトのスキャンでログインチェックを送信しなくなったため、再実行を予定しています）。実際のコードを対象とする E1 は事前登録済み、E8（エージェントのガードレール）はドラフトです	E10 の結果、E1 の事前登録、エージェントを安全に使う
次の予定	実環境での適合率と再現率を信頼区間付きで測定し（E1）、結果にかかわらず公開します	ロードマップ：次の予定、研究計画

リリースは意図的にゆっくり進めています。新しいマイナーバージョンをリリースする前に、 機能の凍結、独立したレビュー、リリースチェック、リリース候補の公開を行います。 リリース情報を確認するにはリポジトリをウォッチするか、 ディスカッションにご参加ください。

Penthera の開発方法

Penthera の開発には生成 AI の大きな支援を活用しています。v1.7.0 までの コミットの 91% は、メンテナーの指示とレビューのもとで Claude Code を通じて Claude（Anthropic）が作成し、共同作成者トレーラーを付けて記録されました。 生成されたコードも、他の変更と同じゲートを通過します。テスト、CodeQL、 独立したレビュー、内部監査、2FA 承認済みのリリースが必要です。製品内では、 モデルは提案のみを行い、判定は決定論的なチェックが行います。詳細な開示と、 AI 支援による貢献のルールはdocs/genai.mdをご覧ください。

コントリビューションとサポート

リポジトリをクローンして npm install を実行し、テストスイートには npm test、適合率と再現率の測定には npm run bench を実行してください。 CONTRIBUTING.md ではプロジェクトの構成、リリースの 頻度、リリースチェックリストを説明しています。AGENTS.md は コーディングエージェント向けの簡易版です。ロードマップ では 次回のリリース内容を、研究計画 では測定項目を確認できます。 Issue とプルリクエストを歓迎します。

Penthera は無料で利用できます。公開前に問題を発見できた場合は、 メンテナンスをスポンサーとして支援できます。 スポンサーシップはメンテナーの作業時間を支援するものであり、調査結果に影響を 与えることはありません（スポンサーシップのティア）。

ライセンス

MIT です。LICENSE を参照してください。Penthera 自体の脆弱性は SECURITY.md を通じて報告してください。