agentgg CLI
Агентный SAST-сканер: ИИ-агенты читают код, проверяют находки по графу вызовов и разбирают весь репозиторий или diff для ревью pull request
- 441 ★ репозитория
- Последний коммит
- Apache-2.0
Широкий доступ
Почему такой уровень
- Исходный код проекта уходит выбранному провайдеру моделей, если вы не используете локальную Ollama
- Команда `agentgg init` сохраняет на диске ключ провайдера
- Агенты тратят токены при каждом сканировании и пишут отчеты в каталог, указанный в `-o`
Установка
В терминале, через SkillFoxx CLI
npx skillfoxx add cli/agentggОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- Исходный код проекта уходит выбранному провайдеру моделей, если вы не используете локальную Ollama
- Команда `agentgg init` сохраняет на диске ключ провайдера
- Агенты тратят токены при каждом сканировании и пишут отчеты в каталог, указанный в `-o`
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
agentgg ищет уязвимости в исходном коде с помощью ИИ-агентов. В отличие от классического SAST с шаблонами, агенты читают код и рассуждают о нем: идут по импортам, смотрят граф вызовов и перепроверяют находку, прежде чем сообщить о ней. Каждый запуск начинается с быстрой разведки, которая объясняет агентам, что за проект перед ними, а прерванное сканирование продолжается при повторном запуске. Утилита ставится через npm (`npm install -g agentgg`, нужен Node.js 20 или новее) и работает с вашим провайдером моделей: Anthropic, OpenAI, AWS Bedrock, Google Vertex AI, OpenRouter или локальной Ollama. Команда `agentgg init` один раз выбирает провайдера и сохраняет ключ. `agentgg scan ./src -o ./out` проверяет все, а `--diff origin/main...HEAD` ограничивает проверку изменениями ветки. Результат — `summary.md` и по одному markdown-файлу на находку, а `agentgg status` и `agentgg view` показывают итоги в терминале и в локальном веб-интерфейсе. Агент здесь — один markdown-файл: заголовок YAML указывает, где искать (расширения и маски файлов) и когда агент вообще нужен проекту, а текст файла служит промптом. Каталог агентов скачивается при первом сканировании из репозитория agentgg-agents, а `agentgg create` превращает отчет о прошлом инциденте в новый агент.
Для кого. Для разработчиков и специалистов по безопасности приложений, которым нужен белый ящик с рассуждающими агентами вместо шаблонного SAST, в том числе в CI.
Подходит, если
- Перед слиянием pull request нужно проверить только изменения ветки командой `agentgg scan --diff origin/main...HEAD`
- Шаблонный сканер дает много ложных срабатываний, и нужны находки, подтвержденные агентом по графу вызовов
- Нужно выбрать модель самому: Anthropic, OpenAI, Bedrock, Vertex AI, OpenRouter или локальная Ollama
- Прошлый инцидент хочется превратить в повторяемую проверку: для этого есть `agentgg create`
- Результат надо читать как markdown-файлы в `./out` и смотреть в локальном веб-интерфейсе
Не подходит, если
- Код нельзя отправлять внешнему провайдеру моделей: без локальной Ollama фрагменты кода уходят к выбранному провайдеру
- Нужен проверенный стабильный инструмент: автор помечает agentgg как бета-версию, возможны сбои и изменения
- Нужно сканировать работающее приложение снаружи: agentgg читает исходники, а не атакует сервис
- Хочется обойтись без аккаунта у провайдера моделей: свой ключ нужен всегда, кроме размещенного сервиса app.agentgg.dev
Пример запроса к агенту
Запусти agentgg по папке src с учетом изменений относительно origin/main и покажи подтвержденные находки по критичностиОграничения
Нужен Node.js 20 или новее и учетная запись у одного провайдера моделей (Anthropic, OpenAI, AWS Bedrock, Google Vertex AI, OpenRouter) либо локальная Ollama. Настройка провайдера описана в документации.
- Автор называет проект бета-версией: возможны шероховатости и изменения.
- Качество находок зависит от выбранной модели, расход токенов тоже: большой репозиторий означает много запросов.
- Повторный запуск с тем же `-o` пропускает неизмененные файлы, другой каталог начинает с нуля.
- API OpenAI и Anthropic из России недоступны, из локальных вариантов работает Ollama.
Как отключить. Удалите утилиту командой `npm uninstall -g agentgg`. Результаты сканирований лежат в каталоге, который вы указали флагом `-o`, ключ провайдера сохранен после `agentgg init`.
Частые вопросы
Чем agentgg отличается от Semgrep?
Semgrep сопоставляет код с правилами, а агенты agentgg читают код, идут по импортам, проверяют граф вызовов и подтверждают находку, прежде чем о ней сообщить.
Как проверить только изменения pull request?
Командой `agentgg scan ./src --diff origin/main...HEAD -o ./out`. Результат появится в `./out/summary.md` и в отдельных файлах по каждой находке.
Какие модели поддерживает agentgg?
Anthropic, OpenAI, AWS Bedrock, Google Vertex AI, OpenRouter и локальную Ollama. Провайдера выбирает `agentgg init`.
Что такое агент в agentgg?
Один markdown-файл: в заголовке YAML указаны расширения и маски файлов, а при желании условие, при котором агент нужен проекту. Текст файла служит промптом.
Можно ли не ставить agentgg локально?
Да, тот же сканер работает как размещенный сервис на app.agentgg.dev: репозиторий загружают, установка и собственный ключ провайдера не нужны.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыAgentic Radar разбирает код многоагентных систем на LangGraph, CrewAI, n8n, OpenAI Agents и AutoGen и собирает HTML-отчет об инструментах и уязвимостях
19 скиллов Google для поиска, воспроизведения и исправления уязвимостей: от модели угроз до патча и отчета, плюс эталонная обвязка на ADK
Расширение Burp Suite с ИИ: разбирает запросы, подключает сканеры и открывает Burp по MCP для Claude Desktop, Claude Code, Codex и Gemini CLI
Набор скиллов, который превращает агента в статический анализатор кода: ищет уязвимости и собирает отчет с приоритетами
Набор для авторизованного багбаунти: 50 субагентов, 26 команд и 2 MCP-сервера площадок багбаунти для Claude Code, Codex и еще пяти агентов
CLI от Snyk, который находит на машине установленные MCP-серверы, скиллы и агентов и проверяет их на промпт-инъекции и вредоносные payload
Сравнение с похожими
Записи с тем же главным запросом: чем они отличаются.
Коротко о README
Страница коротко описывает агентный SAST: идею, установку через npm и пять команд для быстрого старта (init, scan, scan с diff, status, view). Дальше идут ссылки на документацию по запуску сканирования, провайдерам и флагам, раздел о том, что такое агент (markdown-файл с условиями поиска и промптом) и каталог агентов, который скачивается при первом запуске. Завершают страницу правила участия и лицензия Apache 2.0.