slopGrade
L'IA écrit votre code. slopGrade décide : ça passe ou ça bloque.
Une gate déterministe sur chaque pull request. Le slop et les fuites entre tenants n'atteignent jamais main — un check requis, pas un score, pas un débat. Elle lit le diff sur votre propre runner ; seul un verdict en sort.
Installez la gate avec l'ingénieur qui la livre.
Apporter
Un dépôt où un agent ouvre des PR — GitHub, votre CI, la branche qui doit tenir.
Bloquer
On installe la gate et on la voit stopper une vraie fuite entre tenants avant le merge.
Déployer
Advisory → blocage sur vos dépôts, hébergé au Canada. Production.
83
Classes de gate · 123 détecteurs
0 FP
Calibré sur 5 000+ dépôts réels
0 exfiltration
Le code ne quitte jamais votre runner
2 min
Pour installer — OIDC sans clé, un workflow
Une gate, pas un énième scanner.
CodeQL et Semgrep sont des moteurs qu'on configure et qu'on ajuste ; la revue humaine ne tient pas la cadence des PR d'agents. slopGrade est le rulepack curé qu'on active — 83 classes de slop et de fuites de sécurité, calibrées à zéro faux positif sur 5 000+ dépôts réels, décidées sur chaque pull request comme un check requis. Rouge désactive le merge, vert le laisse passer. Déterministe : la formule, jamais un LLM.
Détecter. Bloquer. Vérifier.
La gate vit dans votre CI GitHub Actions. Elle lit le diff de chaque PR, décide, et écrit son verdict comme un check requis. Aucun code ne quitte votre runner.
01 — Détecter
Un extrait de workflow — `uses: slopgrade/[email protected]`, OIDC sans clé, rien à stocker. La PR s'ouvre, la gate lit le diff sur votre runner et le classe contre 83 classes de slop et de fuites entre tenants.
02 — Bloquer
Un check requis, passe ou bloque — pas de score, pas de fil de commentaires. Rouge → le ruleset de branche désactive le merge. Une requête sans filtre d'org, une clé en dur, une action non épinglée s'arrête ici, pas en prod.
03 — Vérifier
L'agent corrige, re-pousse, la gate se relance. Vert → la PR redevient fusionnable. Commencez en advisory sur chaque dépôt — elle signale les rouges sans rien bloquer — puis passez au blocage quand vous lui faites confiance.
Clé en main, calibré, et la fuite que personne d'autre n'attrape.
Le fossé n'est pas le mécanisme — c'est le rulepack curé et la classe que les alternatives ratent.
Clé en main, pas à régler
Vous l'activez ; vous n'écrivez ni n'ajustez de règles. Un extrait de workflow, protégé en deux minutes. CodeQL et Semgrep sont des moteurs à configurer — ceci est le rulepack qui arrive calibré.
Zéro faux positif
Chaque classe est calibrée à 0 faux positif sur un corpus de 5 000+ dépôts avant chaque release. Une gate qui crie au loup se fait désactiver — celle-ci mérite le blocage.
La fuite entre tenants — classe n°1
Une requête à portée d'org sans son filtre d'org est une fuite de données client en prod, invisible à l'œil et ratée par CodeQL et la revue humaine. C'est notre classe phare, attrapée avant le merge.
Déterministe, scellé, clé en main.
Conçu pour s'insérer en ligne sur la PR — et digne de confiance avec votre code parce qu'il ne le prend jamais.
Un check requis
Passe ou bloque, écrit comme un status check que GitHub applique. Rouge → le ruleset de branche désactive le merge ; vert → c'est fusionnable. Binaire et défendable, pas une liste de trouvailles à trier.
0 exfiltration · scission physique
L'extraction tourne sur votre runner GitHub Actions ; seul le verdict en sort. Le classifieur reste fermé côté serveur, le code ne voyage pas — rien à fuiter, rien à croire sur parole.
OIDC sans clé · install en 2 min
Un extrait de workflow, authentifié par OIDC — aucun jeton à stocker, aucun secret à faire tourner. Lecture seule sur vos diffs, n'écrit qu'un statut de check.
Client open-source
Le client d'extraction est ouvert — auditez chaque ligne, forkez-le. Dix classes critiques (SQLi, XXE, secrets, crypto faible…) sont gratuites et ouvertes à vie, en advisory sur tous vos dépôts.
Advisory → blocage
Commencez en advisory sur chaque dépôt : elle signale les rouges sans rien arrêter, vous voyez ce qu'elle attrape sur de vraies PR. Passez au blocage, dépôt par dépôt, quand vous lui faites confiance.
Déterministe — la formule, pas un LLM
Même diff, même verdict, à chaque exécution. Aucun modèle à prompter, rien qui dérive, rien qui hallucine une trouvaille — et on la fait tourner sur slopGrade lui-même avant qu'elle vous arrive.
Les fuites qui partent en PR vertes.
83 classes à travers six catégories, chacune avec le motif exact qu'elle attrape. Une variante toute neuve déclenche la même classe — aucune liste de signatures à tenir à jour.
Entre tenants & accès
Une requête sans filtre d'org, une vue SECURITY DEFINER qui saute le RLS, un corps de requête lié direct au modèle — les lignes de chaque tenant, ou un champ de privilège, qui fuient en prod.
Injection — 42 classes
SQL, commande, SSRF, XXE — une entrée utilisateur concaténée dans une requête, atteignant un shell, un fetch serveur vers un endpoint de métadonnées, un parseur XML aux entités actives. Le gros du catalogue.
Secrets en dur
`sk_live_…` commité dans la source — une clé vive dans l'historique git pour toujours. Attrapée dans le diff avant d'être poussée, pas après la fuite.
Authentification cassée
Un JWT accepté avec l'algorithme « none », le CSRF coupé sur une route mutante, un contrôle d'accès manquant — le jeton falsifiable et la porte ouverte.
Crypto faible — 14 classes
MD5 sur un mot de passe, la vérification de certificat coupée sur un appel sortant, un IV statique ou nul qui chiffre le même clair de façon identique.
Infra & chaîne d'approvisionnement
Un groupe de sécurité ouvert à 0.0.0.0/0 sur SSH, `FROM node:latest`, le mode debug en prod, une action CI épinglée sur une branche et non un SHA, une dépendance typosquattée sur une plage flottante.
Advisory gratuit, puis blocage quand vous y êtes.
Voyez chaque fuite gratuitement ; bloquez le merge quand vous êtes prêt. Vous payez pour ce que vous protégez, jamais par tête.
Advisory — gratuit à vie
Les 10 classes critiques signalent les rouges sur tous vos dépôts sans rien bloquer. Regardez ce qu'elle attrape sur vos vraies PR, auditez le client open-source, forkez-le. Sans carte.
Blocage — à partir de 29 $/dépôt
83 classes + taint interprocédurale + couverture Go/.NET/Java, calibrées à 0 FP. Le ruleset de branche désactive le merge au rouge. Dégressif au volume — 8 $/dépôt à 50+, un dépôt dormant reste à 0 $.
Déploiement souverain
0 exfiltration par construction — le code ne quitte jamais votre runner. Pour les équipes qui veulent la gate déployée sur tous leurs dépôts, hébergée au Canada sous un seul contrat, Maxor Digital la livre.
Toute équipe qui fusionne du code écrit par un agent.
Les agents IA ouvrent des PR plus vite que la revue ne suit. Si une machine peut pousser sur votre dépôt, il vous faut une gate déterministe sur le chemin de main — pas une énième liste de trouvailles.
Une même philosophie déterministe, dans toute la suite.
slopGrade partage la posture Maxor : des maths déterministes plutôt que des modèles boîte noire, un client ouvert et auditable plutôt que « faites-nous confiance », un verdict défendable sur chaque PR. C'est la gate entre une IA et votre branche main — la même discipline qui fait tourner Heisen, MaxorConnect, TensorYard et HullSmith.
Explorer la suite MaxorDisponibilité
—
Statut
Production
Déploiement
CI GitHub · 0 exfiltration · Client open-source
Propriétaire
Maxor Digital · PI détenue par Maxor Global LLC
Placez une gate entre l'IA et votre branche main.
L'appel G1 est gratuit. Apportez un dépôt où un agent ouvre des PR — on installe la gate, on la voit bloquer une vraie fuite entre tenants, puis on parcourt le déploiement. L'advisory est gratuit à vie ; le blocage à partir de 29 $ par dépôt, hébergé au Canada au besoin.
slopGrade, en clair
slopGrade est une gate CI déterministe pour le code écrit par une IA. Sur chaque pull request GitHub elle décide passe ou bloque — un check requis, pas un score — pour que le slop et les fuites entre tenants n'atteignent jamais main. Elle lit le diff contre 83 classes de gate et 123 détecteurs, calibrés à zéro faux positif sur 5 000+ dépôts réels.
Les fuites qui partent en pull requests vertes, à travers six catégories : entre tenants et accès (une requête sans filtre d'org — notre classe phare), injection (SQL, commande, SSRF, XXE — 42 classes), secrets en dur, authentification cassée, crypto faible, et infra et chaîne d'approvisionnement. Elle gate le code peu importe qui l'a écrit — ce n'est pas un détecteur d'IA ; le défaut qu'elle mesure, c'est la fuite dans le diff.
Un extrait de workflow — OIDC sans clé, installé en deux minutes. Quand une pull request s'ouvre, la gate lit le diff et écrit un verdict passe/bloque comme un check requis ; rouge désactive le merge, vert le laisse passer. Commencez en advisory sur chaque dépôt, où elle signale les rouges sans bloquer, puis passez au blocage, dépôt par dépôt, une fois que vous lui faites confiance.
Non — 0 exfiltration par construction. L'extraction tourne sur votre propre runner GitHub Actions et seul le verdict en sort ; le classifieur reste fermé côté serveur et le code ne voyage pas. Le client d'extraction est open-source, vous pouvez donc auditer chaque ligne ou le forker.
Oui. Il est en ligne et en libre-service à slopgrade.ai. Dix classes critiques (SQLi, XXE, secrets, crypto faible et plus) sont gratuites et open-source à vie, en advisory sur tous vos dépôts ; le blocage débute à 29 $ par dépôt et descend à 8 $ à cinquante et plus, un dépôt dormant restant gratuit. Maxor Digital le bâtit et l'opère, et gère le déploiement pour les équipes qui veulent tous leurs dépôts gatés, hébergés au Canada sous un seul contrat.