VulKill Security

VulKill Community

英語 | トルコ語 | 日本語 | 簡体字中国語 | 韓国語

VulKill のウェブサイト · ConverserAI のプロジェクト概要 · 機能 · セットアップ · よくある質問

VulKill Community は、アプリケーション、API、ウェブサイトを開発、所有、またはレビューする人向けの、オープンソースでローカルファーストの防御的なアプリケーションセキュリティツールキットです。静的アプリケーションセキュリティテスト（SAST）、ソフトウェア構成分析（SCA）用の依存関係マニフェストと SBOM、コンテナアーティファクト、Infrastructure as Code（IaC）、CI 設定、保存済みのセキュリティレポートを対象に、対応するソースコードをチームで調査できます。所有するウェブターゲット、または明示的な許可を得たウェブターゲットについては、VulKill は範囲を限定した実行時アクションを準備し、人によるレビューにかけることもできます。結果は、ローカルの stdio MCP 経由で AI クライアントに、CLI 経由で担当者に、またはループバックウェブインターフェースで利用できます。

機能タグ

Application Security · SAST · SCA · SBOM · IaC Security · API Security · Website Security · Mobile Security · Android · iOS · IDOR · Authorization · GraphQL · Kubernetes · SLSA · MCP · SARIF · OpenVEX · GHSA · CVSS · SSVC · DevSecOps

VulKill Community v1.1 では、次の領域のレビュー可能なカバレッジがさらに強化されています。

• フレームワーク横断のアクセス制御： 対応するルート、リゾルバー、ポリシー、ロール、所有者、テナントに紐づくクエリを相関付けます。
• 複数リポジトリのセキュリティグラフ： 対応する API、Webhook、イベント、認証、依存関係、CI の信頼関係をマッピングします。
• 範囲を限定した実行時エビデンス： 明示的な前提条件とリソース制限を設定した、レビュー可能なファジングおよび実行時ワークフローを準備します。
• サプライチェーンとプラットフォームのレビュー： 対応する来歴、SBOM/VEX、コンテナ、Kubernetes、IaC、CI/CD、移行のシグナルを調査します。
• AI 支援による防御ワークフロー： 実効性のあるアクションは承認を必須としたまま、ローカルの stdio MCP 経由でレビューと修正の支援機能を提供します。
• エビデンスに基づく優先順位付け： 対応する検出結果を SARIF フロー、到達可能性、攻撃経路、CVSS、SSVC、修正ゲートに関連付けます。

リリース前にレビューする

リリース前に、AI アシスタントにアプリケーションのレビューを依頼しましょう。VulKill のローカル stdio MCP ワークフローを通じて、AI は対応するセキュリティレビューを案内し、コードのエビデンスを用いて検出結果を説明し、修正の優先順位付けを支援できます。同じ結果は、ウェブインターフェース、CLI、CI アーティファクトからも引き続き利用できます。

Android、iOS、Flutter、React Native のプロジェクトでは、対応するソースコード、モバイルマニフェスト、API パス、シークレット、依存関係、SBOM データ、CI 設定を、リリース前確認画面にまとめられます。App Store または Google Play への申請、ウェブサイトや API の公開、あるいはプルリクエストの準備において、VulKill はユーザーにリリースを届ける前に完了しておくべきセキュリティ作業を明らかにします。

VulKill で確認できること

領域	VulKill で確認できる内容
ソースコードと設定	対応しているコードパス、セキュリティパターン、シークレット、設定のうち、人による確認が必要なものはどれですか？
認可と IDOR の確認	対応している Python、JavaScript/TypeScript、Ruby/Rails、Spring、ASP.NET のルートのうち、認可チェック（CWE-862）が欠落している可能性があるもの、またはユーザー／ロールとの明示的な紐付けが見られない状態でオブジェクト識別子を読み込むため、IDOR の確認が必要なもの（CWE-639）はどれですか？Rails の分析では、複数ファイルにまたがるコントローラーの継承関係を照合します。Spring と ASP.NET の分析では、リテラルなコントローラー／最小構成のルートと、認可アノテーションまたはポリシー、およびサブジェクトに紐付いた検索を照合します。
GraphQL リゾルバーの認可	対応している GraphQL-Ruby SDL のルートフィールドのうち、メソッド形式のクラスまたは明示的な BaseResolver クラスに対応し、所有者、テナント、ポリシーによるガードが見られないまま、スコープなしの ActiveRecord オブジェクト検索を行うものはどれですか？
複数リポジトリ間の信頼関係	対応している OpenAPI 呼び出し、Webhook、Kafka トピック、明示的な認証コントラクト、GraphQL 操作、または正確な PyPI ピンによって、選択したローカルリポジトリ同士はどのように関連付けられていますか？静的な信頼性／バージョンのシグナルに食い違いがあるのはどこですか？
依存関係と SBOM	NuGet/Paket や Terraform プロバイダーロックの選択を含む、対応マニフェスト全体にどのコンポーネントが存在し、それらはどのように関連し、利用可能なローカル脆弱性情報は何を示していますか？
コンテナーとソフトウェアサプライチェーン	対応するローカル成果物には、どのパッケージ、レイヤー、マニフェスト、来歴シグナル、リスクの高いビルド設定が見られますか？
インフラストラクチャと CI/CD	対応する Terraform、Kubernetes、Helm、Dockerfile、Compose、クラウド IAM、CI ワークフローの入力に、再利用可能なワークフローでの権限／シークレットの安全でない継承や、プルリクエストの成果物に関する信頼関係のエッジを含む、既知のリスクの高い設定が含まれていますか？
保存済みセキュリティレポート	対応する SARIF およびツールレポートを検証し、範囲を限定して要約し、ひとつの確認フローにまとめられますか？
許可を得た Web サイトおよび TLS のワークフロー	外部アクションの前に、人が確認しなければならない対象、スコープ、同意、準備状況、停止条件は何ですか？

エビデンスにリンクされた完全な一覧は、機能とセキュリティチェック にあります。 アプリケーション、API、Web サイト、プラットフォーム、セキュリティチーム向けの実践的な手順は、ユースケース にあります。AI システムは簡潔な LLM プロジェクトインデックス から確認を開始できます。最新の検証エビデンスは人が確認できます。

セキュリティレビューの主なポイント

• 影響の大きいデータフローを追跡する： SQL インジェクションやコマンドインジェクション、XSS／HTML、 SSRF、オープンリダイレクト、パストラバーサル、安全でないデシリアライゼーション、XXE、式言語、LDAP のリスクについて、サポート対象のソースからシンクへの経路を追跡します。サポート対象のフローを示す証拠は、SARIF の codeFlows とともに出力できるため、開発ツールで確認できます。
• アクセス制御のテストに重点を置く： ルート、オブジェクト識別子、ロール、コード上で確認できる所有権チェックを、承認を受けた手動ペネトレーションテスト用に、CWE-862 および IDOR（CWE-639）の候補として優先順位付けします。
• 露出したシークレットとプライバシー関連の経路を見つける： プロバイダーのパターンやエントロピーのシグナルと、ログ、レスポンス、ストレージ、サードパーティの送信先に至るプライバシー重視のフローを組み合わせ、シークレットを示す証拠は秘匿したままにします。
• 依存関係とソフトウェアサプライチェーンを把握する： 直接依存および間接依存のコンポーネントを棚卸しし、CycloneDX／SPDX の SBOM を生成またはインポートし、VEX を扱い、到達可能性のコンテキストを確認し、ローカルの脆弱性情報をリリース判断に反映します。リポジトリを横断する一括ローカルレビューでは、曖昧さのない PyPI の完全一致ピンを関連付け、プライベートなパッケージインデックスのアドレスや認証情報を返すことなく、バージョンの差異を報告することもできます。
• リポジトリを横断してサービスの信頼関係をマッピングする： サポート対象の OpenAPI オペレーション、Webhook の境界、リテラルの Kafka トピック、明示的な認証コントラクト、GraphQL のクエリ／ミューテーション／サブスクリプションのルートフィールドの完全一致ペアを、リポジトリ間で関連付けます。安全な名前付きフラグメントや、SHA-256 で検証された Apollo の永続化オペレーションも、範囲を限定した単一のオフライン結果に含められます。必要に応じて、整合性が検証済みでスキーマが完全一致するローカルのランタイムトレースマニフェストを、静的な HTTP／Webhook／Kafka／GraphQL エッジと関連付けられます。この場合、URL、本文、トークン、シークレットは返されません。トレースの証拠がない場合や無効な場合でも、静的なエッジが削除されることはありません。
• コンテナ、クラウド、デリバリーパイプラインを強化する： サポート対象のコンテナアーカイブ、Dockerfile、Terraform、Kubernetes、Helm、Compose、クラウド IAM、CI ワークフロー、ブラウザー拡張機能、モバイルマニフェスト、デスクトップアプリのセキュリティ設定を、1 つのレビュー画面から検査します。
• API、ウェブサイト、TLS をレビューする： ローカルの OpenAPI コントラクトをソース内のルートと比較し、認証の不一致を検査し、サポート対象のウェブセキュリティシグナルを評価し、自社が所有する、または承認を受けたターゲットに対する範囲を限定した操作を準備します。
• 重要な作業を優先する： CVSS 3.1 と CVSS 4.0、CISA SSVC、攻撃経路の相関、所有者、期限、ベースライン、品質ゲートを検出結果に付加し、チームが証拠の確認から修正へ進めるようにします。
• レビュー可能なファズターゲットを準備する： 特定のローカルなパーサーまたはデコーダーの検出結果を対象に、C/C++ LibFuzzer、Rust cargo-fuzz、ネイティブ Go testing.F、Python Atheris、Java Jazzer、JavaScript／TypeScript fast-check のハーネステキストを生成します。ターゲットの解決では、サポート対象の関数またはメソッドを 1 つ、レビュー済みのソースに紐付けます。シグネチャが曖昧な場合は、安全側に失敗します。Atheris、Jazzer、fast-check は、オペレーターがランタイム／モジュールまたは JAR の正確なパスと SHA-256 ピンを指定した場合、明示的なローカルランタイム API から実行することもできます。実行はネットワークから分離され、シード数、実行回数、入力バイト数、実行時間、出力バイト数、プロセスグループのクリーンアップによって制限されます。オプションのエンジンは同梱もダウンロードもされません。エンジンがない場合は、証拠をシミュレートせず runtime_missing/not_run のままとなります。実行は引き続きオペレーターが明示的に行う手順です。
• ニーズに合ったワークフローを選ぶ： AI 支援レビューでは、ループバックのウェブインターフェース、スクリプト可能な CLI、CI アーティファクト、または stdio MCP を使用し、JSON、HTML、SARIF、GitLab、SBOM、VEX、サポート対象の PDF 形式で出力できます。

IDOR と手動の侵入テスト支援

VulKill は、対応するソースコードを、許可を得た手動の侵入テストに役立つ、焦点を絞った調査候補のリストに変換します。組み込みのルートと認可のインベントリにより、保護されていない可能性があるルート（CWE-862）や、Insecure Direct Object Reference（IDOR）の可能性があるパス（CWE-639）を検出し、該当するファイル、ルート、コード行をレビュアーに示せます。これにより、構造化されていないエンドポイントのリストから始めるのではなく、個別のテストユーザー、ロール、合成オブジェクトを使った実地検証の優先順位をテスターが決めやすくなります。

各候補には、証拠に基づく手動検証に必要な情報がまとめられています。許可されたテスト範囲内で、レビュアーはゲートウェイ、ミドルウェア、ポリシーサービス、ビジネスロジックによる制御を考慮しながら、個別のユーザーやロールで実行時の動作を確認できます。

VulKill には、ソースツリーに組み込みのアナライザーとレポートパーサーが含まれています。ルートレスのローカルプロファイルでは、オプションでバージョンを固定した7つのサードパーティ製エンジン、Nuclei、Trivy、Gitleaks、TruffleHog、Opengrep、Syft、Grype もインストールできます。組み込みの分析機能はこれらとは独立して利用できます。オプションのエンジンやプロファイルは、ランタイム、データ、ライセンスの準備状況チェックに合格した場合にのみ、利用可能として表示されます。

ループバックインターフェースと HTML レポートの原文言語はトルコ語で、英語の基本パックに加えて、日本語、簡体字中国語、韓国語の拡張スターターパックを提供します。CJK のエントリーがない場合、該当する英語のエントリーがあれば英語にフォールバックし、なければトルコ語の原文をそのまま表示します。CJK レイアウトは、デスクトップおよびモバイルの Chromium ビューポートでテストしています。ローカライズの対応状況と言語パックの更新を参照してください。

このリポジトリは、Community リリース向けの範囲を準備します。Enterprise コードは、サポート対象の Community 製品の範囲には含まれません。商用サービス、ホスト運用、サポートの保証、顧客ごとのライセンス、非公開インストーラー、ネイティブ配布の実装は、Community の対象外です。公開用に組み立てたツリーでは、共有サーバーにある小規模なバージョン／バックアップ依存関係を Community 専用の互換モジュールに置き換え、除外対象の配布ファイルが再び追加されることを拒否します。

リリース状況

このリポジトリは、VulKill Community v1.2.1 のソースリリースです。COMMUNITY_VERSION はソースバージョンのマーカーであり、公開タグは v<version> の形式でこれに一致する必要があります。ソースは Apache License 2.0 の下でライセンスされています。LICENSEを参照してください。公開状況によって、このライセンスの許諾が暫定的になることはありません。

含まれるもの

• 対応するソース、インフラストラクチャ、依存関係、コンテナー入力を対象としたローカルプロジェクト分析。
• 対応する HTTP/OpenAPI、webhook、Kafka、認証コントラクト、GraphQL、および厳密な PyPI 依存関係の証拠を対象とした、範囲を限定した6種類のリポジトリ横断グラフビュー。各グラフは個別にフェイルクローズするため、1つの相関分析が利用できなくても、ほかの分析結果は失われません。
• ローカルの再利用可能なワークフローを対象とした、GitHub Actions のファイル横断的な信頼性レビュー。また、信頼されていないプルリクエストのプロデューサーから workflow_run コンシューマーへ渡るリテラルアーティファクトも対象とし、範囲を限定した権限、シークレット、宣言済み検証器のシグナルを含みます。コミット SHA で固定されたリモートの再利用可能なワークフローは、範囲を限定し、スキーマを厳密に検証し、ダイジェストでロックしたオフラインミラーからのみ解決されます。コマンド名だけを根拠に検証成功と報告することはありません。
• ローカルレポートと品質ゲート用コマンド。
• 検出結果のレビューと推奨事項の提出に使う、AI ファーストの stdio MCP ワークフロー。
• 状態を変更する AI アクションに対する、チャットを介した人間の承認境界。
• AI クライアントを介在させたくないユーザー向けの、手動 CLI およびローカル Web の選択肢。
• テスト、リポジトリに含まれるルール／データ資産、コントリビューター向けドキュメント。

VulKill は防御を支援するツールであり、システムが安全であることを証明するものではありません。検出結果、問題が見つからなかった結果、AI の提案はいずれも、人によるレビューが必要です。

ソースチェックアウトからのセットアップ

テスト済みのインタープリターは Python 3.12 です。Community v1 のネイティブ環境一式と、ロックされた7つのオプションエンジンは、Linux ARM64 と Linux x86-64 でサポートされています。ネイティブ Windows はサポート対象外です。WSL2 または Docker Desktop の Linux コンテナーを使用してください。macOS では、コア機能のみの実験的なソース環境を利用できますが、7エンジンのネイティブプロファイルは引き続きサポート対象外です。チェックイン済みの Linux コンテナープロファイルは、Windows/macOS の Docker Desktop と WSL2 に適していますが、リリースの検証結果は契約レベルにとどまり、実際の Windows または macOS ホストでの実行を保証するものではありません。このソースリリースは pip でインストールできるパッケージではありません。リポジトリのルートから、チェックイン済みのエントリーポイントを実行してください。rootless セットアップコマンドは .venv を作成し、正確なバージョンのランタイム依存関係とロックされたローカルツールプロファイルをインストールしてから、VulKill やスキャナーを起動せずに、実際の MCP とプロジェクト監査のヘルプ用エントリーポイントを検証します。

python3 scripts/setup-community --accept-third-party-licenses

このフラグにより、COMMUNITY-TOOLS.lock.json に記録されたサードパーティライセンスを確認したことを示します。セットアップ時に、ライセンスへの同意が暗黙に受け入れられることはありません。準備済みのオフライン入力には、--wheelhouse と --tool-cache-dir を使用してください。セットアップではデータベースを開いたり、ウェブサービスを起動したり、スキャンを実行したりしません。

Linux でコア機能のみをセットアップする場合、またはオプションエンジンを使わずに macOS の実験的なソース環境を利用する場合は、次を使用してください。

python3 scripts/setup-community --core-only

Windows/macOS の Docker Desktop または WSL2 では、デフォルトの Compose ファイルがコアイメージをビルドします。オプションの7エンジンイメージは、サードパーティライセンスへの同意がビルドに必要な、別個の明示的なプロファイルです。

docker compose build vulkill
python3 scripts/build-community-tools-image --accept-third-party-licenses

どちらのビルドコマンドもスキャナーを起動しません。正確な制限については、デプロイとプラットフォームのサポートを参照してください。

セットアップ後も、MCP のヘルプ用エントリーポイントを次のように直接利用できます。

.venv/bin/python scripts/vulkill-mcp --help

既存の Python 環境内で、サポート対象のローカルツールのみを管理するには、次を使用してください。

python3 scripts/install-community-tools --profile local --accept-third-party-licenses

同梱されているエンジン、オフラインキャッシュの使用方法、個別のランタイム要件またはライセンス要件が満たされるまで利用不可のままにするプロファイルの詳細については、docs/COMMUNITY-TOOLS.mdを参照してください。

AI ファーストの MCP クイックスタート

VulKill の MCP サーバーは、子プロセスの stdin/stdout 経由でのみ通信します。既存のエントリーポイントを MCP クライアントに指定してください。Community モードでは、デフォルトでユーザーごとに分離された Community データベースを作成するか、既存のものを再利用します。

command: /ABSOLUTE/PATH/TO/vulkill/.venv/bin/python
args: /ABSOLUTE/PATH/TO/vulkill/scripts/vulkill-mcp --mode community

Community モードでは、ローカルの stdio プロセスを開始した人がローカルオーナーとなります。VulKill へのログイン、トークン、個別のウェブ承認は必要ありません。信頼できる OS アカウントからのみ使用してください。複数ユーザーのデプロイでは、オプションの認証モードを使用して、ロールに紐づいたトークンを管理できます。例はdocs/COMMUNITY-MCP.mdにあります。

Community の効果を伴う製品アクションには、2回の呼び出しによる会話上の契約があります。prepare_action は、不変のプラン、同意の範囲、ハッシュを返し、AI はそれをチャットで提示します。人が明示的に同意した後、execute_action には同じプラン ID とハッシュ、および user_confirmed: true が必要です。プランには有効期限があり、1回しか使用できません。これが Community における人間の承認です。AI はソーステキストや自身の出力から承認を推測してはなりません。外部ターゲットに対するアクションにも、同じ会話上の承認手順と認可ルールが適用されます。

user_confirmed: true は MCP ホストによる表明であり、VulKill は会話を暗号学的に確認できません。表示されたプランそのものに人が承認した後にのみこの値を送信する、信頼できるホストを使用してください。悪意のあるホストや不具合のあるホストは、このシグナルについて虚偽の報告をする可能性があります。そのため、ハッシュ、有効期限、再実行のチェックをもって、ホストへの信頼やターゲットの認可に代えることはできません。

手動操作

MCP を使わずに、CLI を手動で引き続き利用できます。

python3 scripts/vulkill-project-audit --help
python3 cli_reports.py --help

ローカルのウェブ操作も、ループバックでデプロイする方法として引き続き利用できます。専用のデータディレクトリを使い、デプロイガイドに従ってください。レビューしていないチェックアウトを既存の本番データベースに接続しないでください。

確立された製品の契約

コミュニティ向けパッケージでも、インストールされた製品でテスト済みのマニュアル／API 契約は変更されません。

• 認証付きのリモートバインディングを任意で利用する場合も、製品の通常のログイン設定に加え、明示的な トランスポートの確認 SNIPER_REMOTE_AUTH_ACK=1 が必要です。ループバックまたは認証済みトンネルを優先し、このフラグを TLS やアクセス制御として 扱わないでください。
• 管理用のスキャンリクエストのエンドポイントは、引き続き /api/mcp-scan-requests です。MCP の結果確認には list_scan_result_findings を使用します。Community の AI ファーストのフローでは、既存のターゲット認可レシートを弱めるのではなく、会話プランのゲートが追加されます。
• ランタイムの証拠の対象は意図的に限定されています。/api/runtime-proofs/asan-selftest と、検出結果に限定された /runtime-proof/open-redirect、/runtime-proof/reflected-html、/runtime-proof/dast、 /runtime-proof/asan-binary、/runtime-proof/asan-compile-database の各ルートが証明するのは、文書化された 条件のみです。固定の DAST カタログには、範囲を限定した CWE-918 の GET、POST、遅延コールバック、同一オリジンへの 1 ホップのリダイレクト、およびローカル DNS／OOB 相関プロファイルが含まれます。これらは、登録済みの非クリティカルなループバック・フィクスチャに、VulKill が所有する 1 リクエストのループバック・カナリアのみを注入し、外部のカナリアやターゲットは受け付けません。リダイレクトでは、http、127.0.0.1、元のポート、パス、コールバッククエリが完全に一致する必要があります。レスポンス本文、コールバックアドレス、トークン、シークレットは返却も保存もされません。これらのルートは、汎用のエクスプロイト実行機能でも、安全性が確保されたことを証明するものでもありません。
• ブラインドベンチマークの準備は、引き続き scripts/prepare_ground_truth.py による明示的なメンテナーのワークフローです。期待される回答は、アナライザーの実行環境から分離されています。

許可済みの OpenSSL 契約は、リクエストの正確な形式が {"confirm_authorized":true,"target":"https://HOST[:PORT]"}、同意バージョンが authorized-tls-target-v1 の POST /api/tool-runs/openssl-x509-authorized です。 既存のループバックルートとペイロード／レスポンスの契約に変更はありません。この契約のテストでは偽のランナーを使用し、実際の外部ターゲットには接続しません。 実際のルートを使用する場合も、所有権、書面によるスコープ、上記の明示的な人間による確認が必要です。

データのプライバシー

VulKill はアプリケーションの状態をローカルに保存し、MCP プロセス自体はネットワークリスナーを開きません。これは、外部 AI のワークフローがオフラインであることを 意味しません。MCP クライアントは、検出結果、ソースの抜粋、プロンプト、メタデータをモデルプロバイダーに送信する場合があります。プロジェクトへのアクセスを有効にする前に、 プロバイダーの保持ポリシーと組織のソース共有ルールを確認してください。トークン、パスワード、秘密鍵、顧客データ、本番環境のデータベースファイルをイシューに記載しないでください。

責任あるセキュリティ利用

VulKill は、自分が所有するシステム、または評価する明示的な許可を得たシステムでのみ使用してください。外部ターゲットに対して操作する前に、ターゲットの所有権、書面による スコープ、実施時期、レート制限、データ取り扱いルール、停止条件を確認してください。AI が作成したリクエストは、人間がこれらの事実を確認し、同じチャットを介して承認するまで実行しないでください。この プロジェクトをアクセス制御の回避、無関係なシステムのスキャン、活動の隠蔽に使用しないでください。

セキュリティメンテナー：Gökçe Baran Karakamış（@dytredline）。非公開の脆弱性報告については SECURITY.md、役割の契約については SECURITY-MAINTAINERS.md、開発ルールについては CONTRIBUTING.md を参照してください。コミュニティ支援の範囲は SUPPORT.md、公開された変更は CHANGELOG.md に記録され、研究の帰属情報は CITATION.cff で確認できます。

検証とテスト

公開機能の概要、最新の再現可能なCommunity検証スナップショット、証拠の範囲、解釈に関するガイダンスについては、VALIDATION.mdをご覧ください。

Communityのドキュメント／メタデータゲートは、オフラインで読み取り専用です。

python3 .github/scripts/validate-community-release.py

レビュー可能なソースディストリビューションを、このチェックアウトの外に新しいディレクトリとしてビルドし、その組み立て済みツリーを検証してください。

python3 scripts/build-community-source.py --output /ABSOLUTE/PATH/TO/vulkill-community-source
python3 .github/scripts/validate-community-release.py \
  --root /ABSOLUTE/PATH/TO/vulkill-community-source --scan-release-tree

ビルダーはオフラインで動作します。明示的な除外ポリシーに従ってランタイムソースをコピーし、クローズドな配布実装、生成された状態、メンテナー専用のアーティファクトを削除して、フェイルクローズのCommunity互換性オーバーレイを適用し、マシン／セッション固有のランタイムテキストをサニタイズし、SHA-256マニフェストを書き込みます。また、既存の出力ディレクトリを削除したり上書きしたりすることはありません。公開前に、出力先にあるCOMMUNITY-RELEASE-LIMITATIONS.mdを確認してください。

リポジトリのすべてのローカルテストを実行するランチャーは次のとおりです。

python3 -m pip install --no-deps -r requirements-runtime.lock -r requirements-test.lock
python3 scripts/run_all_tests.py

一部のオプションエンジンでは、別途インストールした固定バージョンのローカルツールが必要です。オプションの統合がスキップされたからといって、お使いのマシンでエンジンが動作する証明にはなりません。

ライセンス

VulKill CommunityはApache License 2.0（Apache-2.0）の下でライセンスされています。ライセンス条項の全文はLICENSEをご覧ください。サードパーティのコンポーネントおよびオプションのツールには、それぞれ独自のライセンスが適用されます。