工具集

一站式安全扫描器：检查容器镜像、文件系统、Git 仓库与 Kubernetes 集群中的已知漏洞、IaC 错误配置、泄露密钥与软件许可证，并能生成 SBOM。Aqua Security 开源维护。

HashiCorp 的密钥管理系统：vault 命令行可读写密钥、按需签发数据库与云平台的动态凭据、加解密数据并管理租约与吊销。需要连接可用的 Vault 服务端。

基于 YAML 模板的高性能漏洞扫描器：配合社区贡献的模板库，在 HTTP、DNS、TCP、SSL 等协议上检测已知漏洞，支持自定义模板并可接入 CI/CD。仅用于已授权的目标。

检测 Git 仓库、目录文件与标准输入中硬编码的密码、API Key 和令牌，可配成 pre-commit 钩子或 GitHub Action 拦截密钥泄露。已宣布功能冻结、只发安全补丁，作者转向 Betterleaks。

在 Git、GitHub、S3、文件系统等来源中查找泄露的凭据，可识别 800 多种密钥类型，并登录对应服务验证密钥是否仍然有效，减少误报。

评测与红队测试大模型应用的 CLI 与库：批量对比提示词与模型输出、扫描安全漏洞、接入 CI/CD，评测在本地运行。已并入 OpenAI，仍以 MIT 协议开源。

开源逆向工程框架与命令行：反汇编、调试、模拟执行与修改二进制，支持多种架构和文件格式，可通过 r2pipe 或内置 JavaScript 脚本化调用。

加密 YAML、JSON、ENV、INI 等配置文件中的密钥值，支持 AWS / GCP / Azure KMS、age 与 PGP，让密钥可以安全地和代码一起存进 Git。CNCF 沙箱项目。

语义化的多语言静态分析工具：用写法接近源码的规则查找漏洞与缺陷，支持 30 多种语言与自定义规则，默认在本地扫描、不上传代码。跨文件分析与 Pro 规则需登录。

对 AWS、Azure、GCP、Kubernetes、GitHub、M365 等环境做安全基线与合规检查，内置 CIS、NIST、PCI-DSS、SOC2 等框架，可以生成报告，也能打开本地看板。需要先配置对应云账号的凭证。

经典的网络探测与安全审计工具：主机发现、端口扫描、服务版本与操作系统识别，并可用 NSE 脚本做漏洞检测。只应扫描已获授权的网络。

扫描容器镜像、文件系统目录与 SBOM 中的已知漏洞，覆盖主流 Linux 发行版软件包和多种语言依赖，支持按 EPSS、KEV 排序风险，也支持用 OpenVEX 过滤结果，适合在 CI 中做漏洞门禁。由 Anchore 官方维护。

用 Presidio Analyzer 扫描文件与目录中的个人敏感信息（姓名、邮箱、信用卡号等），可配置实体类型、置信度阈值与忽略规则。需要 Python 3.10+ 与 spaCy 语言模型。

Google 官方的依赖漏洞扫描器：解析项目的 lockfile 与容器镜像，对照 OSV.dev 漏洞库找出受影响的依赖，并可给出升级修复建议（实验功能）。

OpenAI 官方安全 CLI 与 TypeScript SDK：扫描代码库，发现、验证并修复安全漏洞，还能起草 SECURITY.md 安全策略。需要 Node.js 22.13+、Python 3.10+，并登录 ChatGPT 或配置 API Key。

NVIDIA 官方开源的大模型漏洞扫描器，探测提示注入、越狱、数据泄露、幻觉和有害内容等弱点，支持 OpenAI、Hugging Face、Bedrock 以及多数可经 REST 访问的模型。扫描云端模型时需要对应的 API Key。

网易开源的跨平台 UI 自动化测试框架：基于图像识别定位元素，无需侵入代码即可自动化 Android/iOS/Windows 上的游戏与 App；airtest run 执行用例，airtest report 生成 HTML 报告。

静态扫描 Terraform、CloudFormation、Kubernetes、Helm、Dockerfile 以及 CI 流水线配置里的安全和合规问题，内置上千条策略，能识别硬编码密钥，可输出 SARIF、JSON 等格式。由 Prisma Cloud 维护。

用 SQL 实时查询云资源与 SaaS API：安装插件后，AWS、Azure、GCP、GitHub、Kubernetes 等服务被映射为数据表，直接 select 取数，无需 ETL。单一二进制，内置 Postgres。

Anthropic 官方的系统级沙箱命令行：无需容器即可限制 agent、MCP 服务器与任意命令的文件和网络访问，macOS 用 sandbox-exec、Linux 用 bubblewrap。目前是研究预览版。

CI/CD 配置的安全静态分析工具：找出 GitHub Actions 工作流中的模板注入、凭据泄露、权限过大等问题，也覆盖 Dependabot 与 pre-commit 配置，部分问题可自动修复。

读写图片、视频、音频、PDF 等数百种文件元数据的经典命令行工具，覆盖 EXIF、GPS、IPTC、XMP 与各相机厂商私有字段，可批量改写、清除或转换元数据。需要 Perl 环境。

离线查询 IP 归属地与 CDN 服务商的终端工具，支持纯真、GeoIP2、ip2region 等数据库，可通过管道为 dig、nslookup 等命令的输出自动标注 IP 信息。

面向小说、字幕、电子书和游戏文本的大模型翻译器，可一键生成术语表保证人名译法统一，并自动审校；除桌面界面外提供 CLI 模式（translate / analyze，输出 JSONL 状态）。需先从发布页下载应用，并准备 DeepSeek 等大模型接口；商业用途需先联系作者授权。