Penthera — плагин
Офлайн-сканер безопасности кода и зависимостей с плагином и MCP: 132 правила, находки с доказательством в file:line.
- 106 ★ репозитория
- Последний коммит
- MIT
Расширенный доступ
Почему такой уровень
- Сканер читает весь код проекта и по подтверждению обращается к запущенному приложению, а исправления вносятся в файлы после одобрения.
Установка
- Работает в
В терминале, через SkillFoxx CLI
npx skillfoxx add plugins/pentheraОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Сканер читает весь код проекта и по подтверждению обращается к запущенному приложению, а исправления вносятся в файлы после одобрения.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Penthera проверяет приложение, его зависимости и настройки ИИ-инструментов прямо на машине разработчика. Решения принимают 132 читаемых правила, а у каждой находки есть доказательство с указанием файла и строки. Модель в режиме `--ai` только выдвигает гипотезы, и правила проверяют каждую из них: непроверенные выводятся отдельно и не ломают CI. В терминале `npx penthera` определяет стек, спрашивает, что проверить, и выдает оценку по областям с тремя главными исправлениями. Живое приложение сканируется только после подтверждения, что оно ваше. Исправления идут через команду `penthera fix --plan` и одобряются вручную. В Claude Code работает плагин со скиллом, который запускает CLI, либо MCP-сервер с шестью инструментами только для чтения. Команда `penthera ui` открывает панель с вердиктом простым языком и матрицей приоритетов.
Для кого. Разработчикам и владельцам небольших продуктов, в том числе собранных в Cursor, Lovable или Bolt, которым нужна проверка безопасности перед публикацией.
Подходит, если
- Перед выкладкой приложения надо найти утекшие секреты и опасные зависимости.
- Агент собрал проект за вечер, и требуется независимая проверка его кода.
- Проверку безопасности хотят встроить в CI с понятным кодом выхода.
- Подозрительный npm-пакет надо проверить до установки.
Не подходит, если
- Нужен тест на проникновение живой системы силами специалиста: Penthera находит известные классы проблем.
- Проверяется чужой сайт без разрешения владельца.
- Требуются выводы модели без проверки правилами.
Пример запроса к агенту
Запусти Penthera на этом репозитории, покажи три главных проблемы и составь план исправлений без применения.Ограничения
Penthera ищет известные классы проблем и не заменяет специалиста по безопасности. Для работы нужен Node.js 22 или новее. Проверка запущенного приложения идет только после вашего подтверждения, что оно принадлежит вам. Режим `--ai` отправляет данные выбранной модели, а находки без подтверждения правилами не влияют на код выхода. Результаты открытых тестов на наборах утекших секретов и вредоносных пакетов приведены в README: у каждого набора свой профиль, поэтому цифры одного нельзя переносить на другой. Исправления применяются только после вашего одобрения, коммитов и отправки в репозиторий нет.
Как отключить. Удалите плагин командой `claude plugin uninstall penthera@penthera` или MCP-запись `claude mcp remove penthera`. Запуск через `npx` ничего не оставляет в проекте, кроме настроек, которые вы сохранили сами.
Частые вопросы
Как поставить Penthera в Claude Code?
Выполните `claude plugin marketplace add danoszz/penthera`, затем `claude plugin install penthera@penthera`. Для одного MCP-сервера подойдет `claude mcp add penthera -- npx -y penthera@2.4.0 mcp`.
Нужна ли установка для первого запуска?
Нет, достаточно `npx penthera` в папке проекта и Node.js 22. Аккаунт не требуется.
Что делает модель при включенном `--ai`?
Она выдвигает гипотезы о проблемах, которых нет в правилах, а каждую гипотезу проверяют правила. Непроверенные находки выводятся отдельно и не ломают CI.
Какие инструменты дает MCP-сервер?
Шесть инструментов только для чтения. Исправления агент вносит сам через скилл или `penthera fix --plan`.
Можно ли запустить проверку в контейнере?
Да: `docker build -t penthera .`, затем `docker run --rm penthera https://your-app.example`.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныСканер безопасности для MCP-серверов и скиллов агентов: ищет внедрение промптов, утечки секретов и подмену после одобрения.
Плагин безопасности кода: ищет уязвимости, пытается опровергнуть находки, подтверждает эксплуатацию и чинит патчем с перепроверкой
Локальный сканер проверяет зависимости, инструкции агентов и настройки MCP до установки: вредоносные пакеты и опасные права.
SAST-сканер с межфайловым анализом потоков данных и MCP-сервером: агент видит вызовы, источники и стоки уязвимостей
Сканер безопасности для MCP-серверов: ищет зашитые ключи, отравление инструментов и инъекции в коде репозитория.
Prowler — плагин для Claude Code
Prowler for Claude Code
Плагин ведет облачный аккаунт к соответствию CIS, PCI-DSS и другим стандартам: берет отчет Prowler Cloud, чинит нарушения и предлагает повторный скан
Коротко о README
Автор публикует результаты проверок на сторонних наборах данных вместе с неудачными. В README есть таблица подключения для десятка агентов и сравнение с Snyk, Socket, Semgrep, ZAP и GitHub.