STRIDE GPT CLI
CLI, который читает код проекта и составляет модель угроз по методике STRIDE с отчетом в Markdown, JSON, SARIF или HTML
- 1 154 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Отправляет исходный код, описание архитектуры и схемы внешнему провайдеру модели, а при локальной модели данные остаются у вас
- Хранит ключи API провайдеров в настройках или файле `.env`, а разбор крупного проекта тратит деньги на вашем счете
- Агент читает файлы проекта и может долго работать без вашего участия после принятия плана
Установка
В терминале, через SkillFoxx CLI
npx skillfoxx add cli/stride-gptОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Отправляет исходный код, описание архитектуры и схемы внешнему провайдеру модели, а при локальной модели данные остаются у вас
- Хранит ключи API провайдеров в настройках или файле `.env`, а разбор крупного проекта тратит деньги на вашем счете
- Агент читает файлы проекта и может долго работать без вашего участия после принятия плана
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
STRIDE GPT строит модель угроз по методике STRIDE. Команда `stride-gpt analyze ./my-app` запускает собственного агента: он планирует разбор, делит проект на подсистемы, читает файлы и для каждой подсистемы выпускает таблицу угроз со сценарием, возможным ущербом и ссылкой на строки кода. Каждая угроза получает идентификатор техники из каталогов MITRE, а для приложений с ИИ добавляются списки OWASP по большим языковым моделям и по агентным системам. Команда `stride-gpt quick` собирает такую же модель угроз по текстовому описанию приложения, из файла или из stdin. Команда `stride-gpt` без аргументов открывает интерактивную оболочку со слэш-командами `/analyze`, `/quick`, `/reports` и `/config`. Отчет сохраняется как Markdown, JSON, SARIF для импорта в GitHub, GitLab, Azure DevOps и IDE, а также как самодостаточный HTML. Вместе с отчетом записываются план разбора, список находок и манифест запуска с моделями и версией. Модели подключаются через LiteLLM: OpenAI, Anthropic, Google AI, Mistral, Groq, DeepSeek и локальный LM Studio. Для плана и итогового синтеза можно назначить более сильную модель, а основную работу отдать дешевой. Отдельный веб-интерфейс на Streamlit ставится из исходников или из образа Docker.
Для кого. Для инженеров по безопасности и разработчиков, которым нужен первый набросок модели угроз по готовому коду или описанию архитектуры.
Подходит, если
- Перед выпуском сервиса нужен черновик модели угроз по коду: `stride-gpt analyze . -o report.json -f json`
- Результаты разбора должны попасть в GitHub или GitLab: формат SARIF импортируется в их панели безопасности
- Вы проектируете приложение с RAG, несколькими агентами или запуском кода, и угрозы нужно сверить со списками OWASP по ИИ
- Кода еще нет, есть описание архитектуры: `stride-gpt quick -i app-description.txt` построит модель угроз по тексту
- Нужны сценарии тестов на Gherkin и оценка опасности угроз по шкале DREAD, их выдает веб-интерфейс
Не подходит, если
- Вы подключаете инструмент к Claude Code или Cursor как скилл: STRIDE GPT работает отдельной программой со своим агентом и ключами провайдеров моделей
- Исходный код нельзя отправлять внешним провайдерам, а локальной модели нет
- Нужен сканер уязвимостей, который находит конкретные ошибки в зависимостях: STRIDE GPT описывает угрозы архитектуры
Пример запроса к агенту
Поставь STRIDE GPT и построй модель угроз для этого репозитория, отчет сохрани в SARIFОграничения
- Для работы нужен ключ API одного из провайдеров моделей или локальный сервер LM Studio. Расходы идут на ваш счет у провайдера, автор советует задать лимит трат.
- Разбор кода делает много вызовов модели и чтений файлов, стоимость растет с размером проекта. Число вызовов на подсистему ограничивает флаг `--max-llm-calls` (по умолчанию 25).
- Модель угроз остается черновиком от языковой модели. Ее проверяет специалист по безопасности.
- У веб-интерфейса нет авторизации, он рассчитан на локальную работу одного пользователя.
Как отключить. Команда `pip uninstall stride-gpt` удаляет программу. Отчеты анализа остаются в папке `~/.stride-gpt/reports/analyze/`, их можно удалить вручную. Ключи API, сохраненные через `/config` или файл `.env`, удаляйте отдельно и при необходимости отзовите их у провайдера.
Частые вопросы
Как составить модель угроз по методике STRIDE с помощью ИИ?
Поставьте `pip install stride-gpt`, задайте ключ провайдера и выполните `stride-gpt analyze .` в корне проекта. Агент покажет план разбора и после вашего согласия выпустит таблицы угроз по подсистемам. Без кода работает `stride-gpt quick` по текстовому описанию.
Какие модели поддерживает STRIDE GPT?
Через LiteLLM подключаются OpenAI, Anthropic, Google AI, Mistral, Groq и DeepSeek, а локальные модели работают через LM Studio. Модель задают флагами `--worker-model` и `--architect-model` в формате `anthropic/claude-sonnet-5`. Если архитектора не нужно, `--no-architect` отключает его.
Куда отправляется мой код при разборе?
Выбранному провайдеру модели. Описание, архитектура и схемы попадают к нему по сети, а хранение определяют его правила. Для закрытых систем автор советует локальные модели через LM Studio или предварительную очистку описания.
Как импортировать результаты в GitHub?
Запустите разбор с `-f sarif -o report.sarif`. Формат SARIF импортируется в GitHub, GitLab, Azure DevOps и IDE, а угрозы в нем несут свойство `mitre_attack` с идентификатором техники.
Чем отличаются `analyze` и `quick`?
`analyze` читает кодовую базу и ссылается на строки файлов, `quick` работает только с вашим текстом и собирает результат в одну подсистему Application. Для готового кода выбирайте `analyze`, для проекта на этапе замысла `quick`.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
CLI-инструментыСкилл моделирования угроз: агент читает код проекта и строит модель угроз со ссылками на файлы и строки
MCP-сервер AWS Labs ведет агента через моделирование угроз по STRIDE в фазах: контекст, архитектура, угрозы, меры, проверка кода.
CLI от Datadog, который ищет уязвимости в исходниках с помощью Claude, GPT или Gemini и сохраняет результат в SARIF
Скиллы собирают модель угроз открытого проекта: что он обещает и от чего отказывается. Документ-контракт, не сканер
CLI проверки безопасности ИИ: сканирует модели и код, пробует живые эндпоинты и MCP-серверы, разбирает записи работы агентов
Движок анализа потоков данных для Java и Kotlin с набором скиллов для агента: сканирует код, разбирает находки и создает правила.
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| STRIDE GPT (эта карточка) | нет | 1 154 | ||
| Claude Code Security Reviewer | нет | 6 849 | GitHub Action от Anthropic, проверяет изменения в pull request, а STRIDE GPT строит модель угроз всего проекта | |
| Semgrep | да | не нужна | 17 617 | статический сканер с правилами для поиска конкретных ошибок в коде, модель угроз по архитектуре он не строит |
Коротко о README
Страница репозитория перечисляет возможности: агентный разбор кода, интерактивную оболочку, поддержку приложений с ИИ, привязку к MITRE и редактор диаграмм в веб-интерфейсе. Дальше идут история версий, три способа установки, примеры команд, таблица флагов и образец отчета. Раздел о безопасности объясняет, как беречь ключи API и какие данные уходят провайдеру модели.