ASH — Automated Security Helper (AWS 安全掃描協調引擎)

• URL: https://github.com/awslabs/automated-security-helper
• Date Saved: 2026-07-16
• Source: GitHub
• Tags: security-privacy, dev-tools
• Repo: https://github.com/awslabs/automated-security-helper

Summary

AWS Labs 出品的安全掃描協調引擎，整合多個開源 SAST / SCA / IaC 掃描工具。666 stars, Apache-2.0, Python。v3 完全用 Python 重寫。

內建掃描器

掃描器	類型	覆蓋範圍
Bandit	SAST	Python
Semgrep	SAST	Python, JS, TS, Java, Go, C#, Ruby, PHP 等
detect-secrets	Secrets	所有文字檔
Checkov	IaC/SAST	Terraform, CFn, K8s, Dockerfile, Helm 等
cfn_nag	IaC	CloudFormation
cdk-nag	IaC	CloudFormation
npm-audit	SCA	JavaScript/Node.js
Grype	SCA	Python, JS, Java, Go, Ruby 等
Syft	SBOM	多語言

執行模式

• local — 僅 Python 工具，需 Python 3.10+ & UV
• container — 所有工具（Docker/Finch/Podman）
• precommit — 快速子集，適合 pre-commit hook

安裝

curl -sSfL https://astral.sh/uv/install.sh | sh
alias ash="uvx git+https://github.com/awslabs/automated-security-helper.git@v3.5.7"
ash --mode local

報告格式

SARIF, JSON, HTML, Markdown, CSV, JUnit XML

亮點

• 可插拔架構，支援自訂 plugin/scanner/reporter
• MCP Server 整合 AI 助手（Claude Desktop, Kiro 等）
• pre-commit hook 支援
• UV 管理工具隔離，不影響專案依賴
• 統一輸出格式 + severity threshold 設定