OpenTaint CLI

Q: Как установить OpenTaint?

Выполните curl -fsSL https://opentaint.org/install.sh | bash на Linux и macOS, irm https://opentaint.org/install.ps1 | iex на Windows или npm install -g @seqra/opentaint. Есть также Homebrew, Docker и запуск без установки через npx @seqra/opentaint scan.

Q: Как подключить скиллы к агенту?

Для Claude Code: claude plugin marketplace add seqra/opentaint и claude plugin install appsec-workflow@opentaint. Для Codex: codex plugin marketplace add seqra/opentaint и codex plugin add appsec-workflow@opentaint. Универсально: npx skills add https://github.com/seqra/opentaint.

Q: Что входит в набор скиллов?

Сборка и запуск: build-project, run-scan, analyze-findings, generate-poc. Расширение покрытия: triage-dependencies, discover-attack-surface, create-rule. Моделирование потоков: create-dataflow-model, debug-rule и другие. Все связывает appsec-agent.

Q: Можно ли запустить сканирование в Docker?

Да: docker run --rm -v $(pwd):/project -v $(pwd):/output ghcr.io/seqra/opentaint:latest opentaint scan --output /output/results.sarif /project. Результат сохранится в SARIF.

Движок анализа потоков данных для Java и Kotlin с набором скиллов для агента: сканирует код, разбирает находки и создает правила.

175 ★ репозитория
Последний коммит 2 нояб. 2026
Apache-2.0

CLI

seqra/opentaintАвтор:seqra

Установка

Работает в: Claude Code
Codex

Ручная установка

curl -fsSL https://opentaint.org/install.sh | bash

Для Linux и macOS. Для Windows PowerShell `irm https://opentaint.org/install.ps1 | iex`, также доступны Homebrew, npm и Docker.

Доступ и проверки

Как мы проверяем

Широкий доступИнструмент может менять данные, выполнять команды или работать с секретами.

Скиллы собирают и запускают проект и могут выполнять код приложения при динамических проверках.
Агент получает доступ к исходникам и результатам сканирования, содержащим сведения об уязвимостях проекта.

Это чужой код. Посмотрите файлы в репозитории перед установкой.

Что делает

OpenTaint — открытый межпроцедурный движок анализа потоков данных для безопасности приложений. Он отслеживает недоверенные данные через границы функций, хранилища, алиасы и асинхронный код и ищет то, что упускают сопоставители по синтаксису. Идея в том, что агент один раз превращает найденную уязвимость в правило, а детерминированный движок применяет его ко всей кодовой базе и каждому следующему коммиту за минуты процессорного времени и без затрат токенов. Поддерживаются Java, Kotlin и Spring, Python, Go, C#, JavaScript и TypeScript значатся в планах. Скиллы `appsec-workflow` проводят агента по полному циклу: сборка проекта, запуск `opentaint scan`, разбор находок, поиск поверхности атаки, создание и отладка правил, моделирование потоков через библиотеки. Скилл `appsec-agent` запускает оценку проекта целиком, при желании с динамическими проверками для подтверждения находок. Результат отдается в формате SARIF, есть шаблоны для GitHub Action и GitLab CI.

Для кого. Специалистам по безопасности приложений и командам на Spring, которые хотят глубокий анализ потоков данных с минимальным расходом токенов.

Подходит, если

Сканеры по шаблонам пропускают недоверенный ввод, который проходит через слой хранения и несколько вызовов.
Найденную уязвимость нужно превратить в правило и прогнать по всему монорепозиторию и по каждому коммиту.
Агент должен провести оценку проекта целиком: сборка, сканирование, разбор находок и поверхность атаки.
В CI нужен результат в формате SARIF от открытого анализатора, который можно развернуть у себя.

Не подходит, если

Проект на Python, Go или JavaScript: эти языки пока в планах, а поддержка есть для Java и Kotlin.
Нужен один быстрый линтер по шаблонам без настройки правил.
Разрешена только проверка чужих систем без доступа к исходникам: движок работает с кодом проекта.

Пример запроса к агенту

Собери проект, запусти `opentaint scan`, разбери находки и сделай правило из самой серьезной, чтобы прогнать его по всему репозиторию.

Ограничения

Движок разбирает исходники Java и Kotlin, остальные языки названы планами. Агентские скиллы собирают и запускают проект, а при включенных динамических проверках могут выполнять код приложения, поэтому используйте изолированную среду и свои проекты. Скиллы требуют установленного CLI `opentaint`. Правила нужно писать и отлаживать, качество результата зависит от моделей библиотек. Лицензии делятся: ядро под Apache 2.0, CLI, правила и шаблоны CI под MIT.

Как отключить. Удалите CLI тем же менеджером, которым ставили, например `npm uninstall -g @seqra/opentaint`, и плагин командой `claude plugin uninstall appsec-workflow@opentaint`. Результаты сканирования остаются в вашем каталоге вывода.

Частые вопросы

Как установить OpenTaint?

Выполните `curl -fsSL https://opentaint.org/install.sh | bash` на Linux и macOS, `irm https://opentaint.org/install.ps1 | iex` на Windows или `npm install -g @seqra/opentaint`. Есть также Homebrew, Docker и запуск без установки через `npx @seqra/opentaint scan`.

Как подключить скиллы к агенту?

Для Claude Code: `claude plugin marketplace add seqra/opentaint` и `claude plugin install appsec-workflow@opentaint`. Для Codex: `codex plugin marketplace add seqra/opentaint` и `codex plugin add appsec-workflow@opentaint`. Универсально: `npx skills add https://github.com/seqra/opentaint`.

Какие языки поддерживаются?

Сейчас Java и Kotlin со Spring. Python, Go, C#, JavaScript и TypeScript значатся в планах развития.

Что входит в набор скиллов?

Сборка и запуск: `build-project`, `run-scan`, `analyze-findings`, `generate-poc`. Расширение покрытия: `triage-dependencies`, `discover-attack-surface`, `create-rule`. Моделирование потоков: `create-dataflow-model`, `debug-rule` и другие. Все связывает `appsec-agent`.

Можно ли запустить сканирование в Docker?

Да: `docker run --rm -v $(pwd):/project -v $(pwd):/output ghcr.io/seqra/opentaint:latest opentaint scan --output /output/results.sarif /project`. Результат сохранится в SARIF.

Обсуждение

Вопросов и отзывов пока нет.

CLI-инструменты

LLM SAST Skills

Набор скиллов, который превращает агента в статический анализатор кода: ищет уязвимости и собирает отчет с приоритетами

СкиллРасширенный доступ1,4 тыс.

CodeInspectus — сканер безопасности для кода от ИИ

CodeInspectus

Локальный MCP-сервер и CLI ищут уязвимости в сгенерированном ИИ коде и ведут цикл: скан, исправление, повторный скан

MCP-серверШирокий доступ51

Guardana

CLI проверки безопасности ИИ: сканирует модели и код, пробует живые эндпоинты и MCP-серверы, разбирает записи работы агентов

CLIШирокий доступ208

OpenART

Скилл-проводник по OpenART: исполняемому бенчмарку, который проверяет безопасность кодовых агентов в долгих изменяющихся средах

СкиллШирокий доступ275

OWASP Security

Скилл для проверки кода на уязвимости по OWASP Top 10:2025, ASVS 5.0 и спискам уязвимостей для LLM и ИИ-агентов 2026 года

СкиллМинимальный доступ440

Security Audit Skill

Навык проверки безопасности по OWASP Top 10, CWE и CVSS с глубоким сканированием PHP и TYPO3 по 80 с лишним контрольным точкам.

ПлагинРасширенный доступ53

Сравнение с похожими

Карточки с тем же главным запросом: чем они отличаются.

Инструмент	Официальный	Авторизация	Звезды репозитория	Главное отличие
OpenTaint (эта карточка)	нет		175
Semgrep	да	не нужна	17 617	сопоставление по шаблонам синтаксиса; OpenTaint отслеживает поток недоверенных данных между функциями и слоями
LLM SAST Skills	нет		1 371	скиллы на модели читают код заново при каждом прогоне; OpenTaint применяет готовые правила детерминированным движком

Коротко о README

Репозиторий объединяет движок, правила и интеграции с CI в один стек под открытыми лицензиями и поставляет скиллы для агентов как плагин `appsec-workflow` и через Skills CLI.

Бейдж для README

Сообщить о проблеме