agentgg-dev/agentgg

解決する問題

agentgg は、ソースコード内の脆弱性を発見するセキュリティスキャナーです。パターンマッチングに依存する従来の静的解析ツールとは異なり、agentgg は実際にコードを読み取り、推論する AI エージェントを使用します。つまり、インポートを追跡し、コールグラフを理解し、報告する前に発見を確認できるため、誤検知が減少します。

仕組み

各スキャンは、プロジェクトが何であるかをエージェントに説明する高速な偵察パスから始まります。次に、YAML frontmatter（検索場所とオプションの前提条件を宣言）を持つ Markdown ファイルとして定義されたエージェントが実行されます。エージェントはリポジトリ全体または差分のみを検索できます。スキャナーは、完全なリポジトリまたはプルリクエストレビュー用の git diff のスキャンをサポートします。出力には、要約と発見ごとの Markdown ファイル、および中断されたスキャンを再開し、ステータスを確認し、再検証できる状態ディレクトリが含まれます。複数の LLM プロバイダー（Anthropic、OpenAI、Bedrock、Vertex AI、OpenRouter、またはローカル Ollama）と統合します。

対象読者

CLI を介してローカルで、またはホスト型サービスとして使用できる、よりインテリジェントでコンテキストを認識する SAST スキャナーを求める開発者とセキュリティチーム向けです。CI 対応で、プルリクエストレビューに適しています。ユーザーは API キーを取得するために LLM プロバイダーにある程度精通している必要があります。

ハイライト

• パターンマッチングよりもエージェント推論：エージェントはコードを読み取り、インポートを追跡し、発見を検証します。
• リポジトリ全体または PR レビュー用の git diff で動作します。
• 再開サポート：中断されたスキャンは再実行時に再開できます。
• エージェントカタログは GitHub リポジトリから自動ダウンロードされます。ユーザーはカスタムエージェントを作成できます。
• ローカル Ollama を含む複数の LLM プロバイダーをサポートします。
• 発見を閲覧するためのローカル Web UI が含まれています（agentgg view）。
• ライブ検証（--live-validate）は Docker を使用して発見を確認します。