CodeCrucible CLI
CLI на Go ищет уязвимости в Git-репозитории с помощью LLM и сохраняет находки в SARIF для GitHub Code Scanning.
- 120 ★ репозитория
- Последний коммит
- Apache-2.0
Расширенный доступ
Почему такой уровень
- Исходный код уходит внешнему провайдеру модели, а запуск расходует токены.
Установка
- Работает в
Ручная установка
make buildСборка из клонированного `https://github.com/block/codecrucible`; нужен Go. Есть вариант с образом Docker (`make docker-build`).
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Исходный код уходит внешнему провайдеру модели, а запуск расходует токены.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
CodeCrucible, консольная утилита на Go, ищет эксплуатируемые уязвимости в исходниках. Она читает репозиторий, отсеивает тесты, каталоги `vendor` и бинарные файлы, режет код на куски под лимит модели и пропускает их через три фазы: определение особенностей проекта, анализ и отдельный аудит найденного. На выходе валидный SARIF 2.1.0, который принимают GitHub Code Scanning и другие совместимые системы. Для каждой фазы можно выбрать свою модель и провайдера: Anthropic, OpenAI, Google, Cerebras, Ollama, Databricks или совместимый с OpenAI адрес. Флаг `--dry-run` показывает объем входных данных и оценку стоимости без вызовов API. Агентский навык лежит в `.agents/skills/codecrucible/SKILL.md`: по нему агент запускает скан, подбирает набор промптов и разбирает находки.
Для кого. Инженерам по безопасности и командам, которым нужен недорогой предварительный аудит кода до ручной проверки.
Подходит, если
- Перед релизом репозиторий прогоняют через модель и получают находки в формате SARIF.
- Скан встраивают в CI, а результат отправляют в GitHub Code Scanning.
- Стоимость обхода большого монорепозитория сначала оценивают флагом `--dry-run`.
- Анализ и аудит поручают разным моделям, чтобы сравнить качество находок.
Не подходит, если
- Находки хотят принять как окончательный вердикт без чтения кода.
- Исходники нельзя отправлять внешним провайдерам моделей.
- Нужен детерминированный сканер, который не тратит токены.
Пример запроса к агенту
Просканируй репозиторий `./service`, покажи оценку стоимости через `--dry-run`, затем сохрани результат в `results.sarif`.Ограничения
Находки пишет языковая модель, поэтому встречаются ложные срабатывания и пропуски; каждую находку сверяют с исходным кодом. Исходники уходят выбранному провайдеру, а запуск расходует токены: оценка в `--dry-run` дает запас в 2–3 раза и потолком не служит. Для работы нужен ключ провайдера либо вход через Claude Code CLI. Установка идет сборкой из исходников командой `make build`, поэтому на машине должен быть Go. Лицензия Apache-2.0, проект выпущен организацией Block.
Как отключить. Удалите бинарник `codecrucible` и каталог навыка агента. Файлы SARIF и артефакты фаз лежат рядом с путем из `--output`, их удаляют вручную.
Частые вопросы
Какие провайдеры поддерживаются?
Поддерживаются `anthropic`, `openai`, `google`, `cerebras`, `ollama`, `openai-compat` и `databricks`. Если флаг не задан, провайдер определяется по переменным окружения.
Как узнать стоимость скана заранее?
Запустите скан с `--dry-run`: он покажет состав входных файлов и грубую оценку токенов без обращений к API. Оценка включает запас в 2–3 раза.
Куда пишется результат?
В файл из `--output`, например `results.sarif`. Рядом появляются артефакты фаз: `results.analysis.sarif` и `results.audit.sarif`.
Можно ли перепроверить находки другой моделью?
Да. Команда `codecrucible scan REPO --audit-from results.analysis.sarif` повторяет только аудит на сохраненных находках, анализ не запускается.
Нужен ли ключ API?
По умолчанию да, ключ выбранного провайдера. Режим со входом через Claude Code CLI (`claude auth status`) работает без ключа API.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыCodex Security сканирует код, проверяет находки и исправления, сохраняет доказательства и экспортирует результаты для ревью и CI.
CodeInspectus — сканер безопасности для кода от ИИ
CodeInspectus
Локальный MCP-сервер и CLI ищут уязвимости в сгенерированном ИИ коде и ведут цикл: скан, исправление, повторный скан
ClawScan запускает несколько сканеров безопасности на скиллах агентов и отдает результаты судье для общего вердикта.
Сканер безопасности для скиллов агентов: ищет промпт-инъекции, утечку данных и вредоносный код перед установкой
CLI от Datadog, который ищет уязвимости в исходниках с помощью Claude, GPT или Gemini и сохраняет результат в SARIF
Офлайн-сканер проверяет чужие репозитории, скиллы, плагины и MCP-серверы на вредоносный код до того, как они попадут к агенту.
Коротко о README
Каждая фаза настраивается отдельно: модель, провайдер, ключ, адрес и параметры. Если модель сбоит, итоговый файл остается валидным SARIF с частичными результатами.