Repolode
投稿する
Pantheon-Security

Pantheon-Security/medusa

LLMアプリ、MCPサーバー、チャットやシェル履歴に漏えいしたシークレット向けのルールを備えた、AIファーストのセキュリティスキャナー。

GitHub で見る公式サイト
スター
1,015
フォーク
155
未解決の Issue
3
最終コミット
3 か月前

これは何？

MEDUSAはPython製のコマンドラインセキュリティスキャナーです。AI/MLアプリケーション、LLMエージェント、MCPサーバー、RAGパイプライン、従来型のコードを対象とする多数の組み込みルールを、外部ツールをインストールせずに実行できます。banditやeslintなどの外部リンターがあれば、自動的に検出して利用します。

一般的なSASTスキャンに加え、AI特有のリスクにも対応します。`medusa scan --git`コマンドは、リモートリポジトリをクローンする前に検査し、`.cursorrules`などのAIエディター設定ファイル、`.claude/`のフックや権限、MCP設定に、悪意のあるコンテンツや過剰な権限設定がないか確認します。`medusa secrets scan`コマンドは、AIアシスタントのチャットログやシェル履歴からAPIキーやトークンを探します。`purge`サブコマンドを使うと、先にバイト単位で同一のバックアップを作成したうえで、対話形式で該当箇所を伏せ字にできます。

結果はJSON、HTML、Markdown、SARIF、JUnit、テキスト形式で出力できます。また、コンテンツハッシュのキャッシュによる差分スキャン、`.medusa.yml`ファイルでの設定、生成したコンテキストファイルを介したClaude Code、Gemini CLI、Cursor、Copilot、OpenAI Codexとの連携にも対応しています。

主な機能

  • 01クローンする前に`medusa scan --git`で任意のGitHubリポジトリをスキャンでき、AIエディターの設定ファイルも対象にできます。
  • 02AIチャットやシェル履歴からAPIキーやトークンを検出し、対話形式での伏せ字処理とバックアップ作成ができます。
  • 03プロンプトインジェクション、MCPツールのポイズニング、RAG、エージェントセキュリティに対応する組み込みルールを備えています。
  • 04RustとPHP向けのネイティブルールに加え、外部リンターを呼び出すオプションのラッパーを備えています。
  • 05結果をJSON、HTML、Markdown、SARIF、JUnit、テキスト形式で出力でき、`--fail-on`を使ったCIでの利用にも対応しています。

ユースケース

  • クローンや実行の前に、サードパーティ製リポジトリやClaude Codeの設定を検査する。
  • コードベースを調べ、シェル履歴やAIアシスタントのログに認証情報が漏れていないか確認する。
  • SARIFまたはJUnit形式の出力を使い、CIパイプラインにセキュリティゲートを追加する。
  • LLMアプリケーションやMCPサーバーを監査し、プロンプトインジェクションやツールのポイズニングのリスクを確認する。

クイックスタート

  1. 1

    PyPIからMEDUSAをインストールする

    pip install medusa-security
  2. 2

    現在のフォルダーを初めてスキャンする

    medusa scan .

使う前に知っておきたいこと

  • AGPL-3.0ライセンスで提供されています。コピーレフトライセンスであり、変更を加えたホスティング環境でのデプロイには、ネットワーク利用に関する条項が適用される場合があります。
  • 一部のオプションの外部リンターは、各ベンダーのドキュメントに従って別途インストールする必要があります。

収録されている特集

セキュリティ診断・監査・脅威情報ツール

トピック

#security#static-analysis#sast#ai-security#llm-security#agent-security#devsecops#secrets-detection#code-analysis#cve-detection

よくある質問

medusa とは？
LLMアプリ、MCPサーバー、チャットやシェル履歴に漏えいしたシークレット向けのルールを備えた、AIファーストのセキュリティスキャナー。 MEDUSAはPython製のコマンドラインセキュリティスキャナーです。AI/MLアプリケーション、LLMエージェント、MCPサーバー、RAGパイプライン、従来型のコードを対象とする多数の組み込みルールを、外部ツールをインストールせずに実行できます。banditやeslintなどの外部リンターがあれば、自動的に検出して利用します。
medusa は無料で使えますか？ライセンスは？
medusa は AGPL-3.0 ライセンスのオープンソースです。商用製品で使う前にライセンス条件を確認してください。
medusa は今もメンテナンスされていますか？
半年以内に更新あり。medusa の最終コミットは 2026年8月10日 です。
medusa は何に使えますか？
クローンや実行の前に、サードパーティ製リポジトリやClaude Codeの設定を検査する。 コードベースを調べ、シェル履歴やAIアシスタントのログに認証情報が漏れていないか確認する。 SARIFまたはJUnit形式の出力を使い、CIパイプラインにセキュリティゲートを追加する。 LLMアプリケーションやMCPサーバーを監査し、プロンプトインジェクションやツールのポイズニングのリスクを確認する。
medusa のインストール方法は？
PyPIからMEDUSAをインストールする: pip install medusa-security 現在のフォルダーを初めてスキャンする: medusa scan .
medusa はどこで入手できますか？
ソースコードとインストール手順は GitHub にあります：https://github.com/Pantheon-Security/medusa

概要はプロジェクトの README をもとに AI が生成しています。GitHub の数値は毎日更新されます。

関連プロジェクト