Web Security Hub 6.2.0

Web Security Hub 6.2.0 improves the reliability of form test generation.

• A manual forms file with the wrong shape (not a list, or a form or field without its URL, fields, selector or type) is reported with a clear message instead of failing later.
• Form test generation and execution behave as before; this release also includes internal quality work on that part of the tool.

macOS Apple Silicon: Developer ID signed, Apple notarized and stapled. Windows x64: unsigned NSIS installer. Intel Macs and Linux: use the source edition. SHA-256 checksums are attached.

日本語：フォームのテスト生成の信頼性を高めました。手動フォームファイルの形が正しくない場合（配列でない、フォームやフィールドにURL・fields・selector・typeがない）に、後で失敗するのではなく、分かりやすいメッセージで知らせます。テストの生成と実行の結果はこれまでと同じです。macOSは署名・公証済み、Windowsは未署名です。各配布物のSHA-256を添付しています。

Web Security Hub 6.1.0

Web Security Hub 6.1.0 shows live progress while a genetic search runs.

• Search (GA) now reports the current generation, candidates evaluated, HTTP trials used and the best score so far, followed by the independent re-execution step.
• Includes the security and dependency updates from 6.0.1.

macOS Apple Silicon: Developer ID signed, Apple notarized and stapled. Windows x64: unsigned NSIS installer. Intel Macs and Linux: use the source edition. SHA-256 checksums are attached.

日本語：遺伝的探索（GA）の実行中に、現在の世代、評価した候補数、使ったHTTP試行数、その時点の最高スコア、続く独立再実行の段階を表示するようにしました。6.0.1のセキュリティー・依存更新も含みます。macOSは署名・公証済み、Windowsは未署名です。各配布物のSHA-256を添付しています。

Web Security Hub 6.0.1

Web Security Hub 6.0.1 is a maintenance release with security hardening and dependency updates.

• Local report and evidence files are read in a way that cannot be redirected between the check and the read, including on platforms without no-follow file opens.
• Stricter validation of file paths and command-line plan files, fuller escaping of displayed text, rate limits on more local requests, and linear-time patterns for path and email checks.
• Updated Express rate limiting, Appium, Tauri, the MCP server's HTTP libraries (Hono) and production dependencies with published security fixes.

macOS Apple Silicon: Developer ID signed, Apple notarized and stapled. Windows x64: unsigned NSIS installer. Intel Macs and Linux: use the source edition. SHA-256 checksums are attached.

日本語：保守リリースです。ローカルのレポート・証拠ファイルを、確認と読み込みの間に差し替えられない方法で読むようにしました。ファイルパスとコマンドラインの計画ファイルの検証を厳しくし、表示文字列のエスケープ、ローカル要求のレート制限、パスとメールの検査パターンを改善しました。Express のレート制限、Appium、Tauri、MCPサーバーのHTTPライブラリ（Hono）などを、公開済みのセキュリティー修正を含む版へ更新しました。macOSは署名・公証済み、Windowsは未署名です。各配布物のSHA-256を添付しています。

Web Security Hub 6.0.0

Web Security Hub 6.0.0 adds an MCP server so AI assistants can work with your verification results.

• MCP server (source edition): assistants that support the Model Context Protocol can read verification reports, start sample verifications and genetic searches, and prepare OpenVEX drafts over standard input and output.
• You choose the permissions (run, code snippets, VEX) when you start the server; tools that are not allowed are not offered.
• One job runs at a time with per-minute limits, results are aggregate by default, and approving a VEX draft always stays with a person.
• Start it with node core/verifier/generated/cli/mcp.js. See the illustrated guide.

macOS Apple Silicon: Developer ID signed, Apple notarized and stapled. Windows x64: unsigned NSIS installer. Intel Macs and Linux: use the source edition. SHA-256 checksums are attached.

日本語：MCPサーバーを追加しました（ソース版）。MCPに対応したAIアシスタントが、標準入出力を通じて、検証レポートの参照、サンプル検証と遺伝的探索の開始、OpenVEXドラフトの準備を行えます。許可（実行・候補値・VEX）は起動時に選び、許可のないツールは提示されません。ジョブは同時に1つ、呼び出しは1分あたりの回数を制限し、結果は既定で集計のみです。VEXドラフトの承認は常に人が行います。起動は node core/verifier/generated/cli/mcp.js、ガイドを参照してください。macOSは署名・公証済み、Windowsは未署名です。各配布物のSHA-256を添付しています。

Web Security Hub 5.0.0

Web Security Hub 5.0.0 adds OpenVEX authoring and moves to Node.js 24.

• Create OpenVEX (v0.2.0) documents from verification results. Evidence suggests a status, a named reviewer decides, and only an approved draft is exported. A verification that finds nothing never produces "not affected" on its own; that status and "fixed" are recorded as the reviewer's decision with a justification. Revisions keep the document ID and raise the version.
• New "VEX" workspace with bilingual illustrated instructions reachable from the screen.
• Node.js 24 is now required for the source edition, and the installers bundle Node.js 24.22.1.
• New specification, architecture, detailed design and screen design documents in English and Japanese.

macOS Apple Silicon: Developer ID signed, Apple notarized and stapled. Windows x64: unsigned NSIS installer. Intel Macs and Linux: use the source edition. SHA-256 checksums are attached. See the illustrated guide.

日本語：OpenVEXの作成に対応し、Node.js 24へ移行しました。検証結果を根拠にOpenVEX（v0.2.0）の文書を作成できます。証拠が状態を提案し、名前のあるレビュー担当者が決め、承認したドラフトだけを書き出します。何も見つからなかった検証だけで「影響なし」が作られることはなく、「影響なし」と「修正済み」は、理由を添えたレビュー担当者の判断として記録します。改訂版は文書IDを保ったまま版が上がります。「VEX」画面と、画面から参照できる日英の画像付きガイドを追加しました。ソース版はNode.js 24以上が必要になり、インストーラー版はNode.js 24.22.1を同梱します。仕様書・設計書・詳細設計書・画面設計書を日英で追加しました。macOSは署名・公証済み、Windowsは未署名です。各配布物のSHA-256を添付しています。

Web Security Hub 4.0.0

Web Security Hub 4.0.0 adds genetic search for the dedicated sample, with an optional language model.

• Search a synthetic sample whose violation needs three conditions at once. Candidates are selected, recombined and mutated over generations; the same candidate is never executed twice, and a result counts only after an independent re-execution in a separate session.
• Compare fixed rules, the genetic algorithm and the algorithm with a model under the same trial limit and fixed seeds.
• Model candidates are optional and off by default. The app uses models running on this machine (127.0.0.1) only. Replies are checked against a strict schema and bounded by retry, call, token and cost limits.
• New "Search (GA)" workspace with cancellation and per-generation details, plus bilingual illustrated instructions reachable from the screen.

macOS Apple Silicon: Developer ID signed, Apple notarized and stapled. Windows x64: unsigned NSIS installer. Intel Macs and Linux: use the source edition. SHA-256 checksums are attached. See the illustrated guide.

日本語：遺伝的探索に対応しました。3つの条件が同時にそろったときだけ違反になる専用サンプルを、候補の選択・交叉・突然変異を世代ごとに繰り返して探索します。同じ候補は2回実行せず、別セッションでの独立した再実行で確認できたものだけを結果として数えます。固定ルール・遺伝的アルゴリズム・モデル併用を、同じ試行上限と固定したseedで比較できます。言語モデルは任意で、初期状態では無効です。アプリで使えるのはこの端末のモデル（127.0.0.1）だけです。macOSは署名・公証済み、Windowsは未署名です。各配布物のSHA-256を添付しています。

Web Security Hub 3.0.0

Web Security Hub 3.0.0 adds individual SAST findings, source-aware local verification and optional per-trial passive ZAP evidence.

• Analyze file-local Express routes with stable finding identities and source snapshots; ambiguous mappings stay explicit.
• Run the shipped sample or an explicitly authorized anonymous local JSON API. Normal controls run first, source changes invalidate evidence, and cancellation releases owned resources.
• Install pinned ZAP/Java from the app. Fresh sessions correlate all five IDs with exact messages; passive warnings never automatically confirm a SAST finding.
• Read private JSON/HTML results and bilingual illustrated instructions directly from the execution screen.

macOS Apple Silicon: Developer ID signed, Apple notarized and stapled. Windows x64: unsigned NSIS installer. Intel Macs and Linux: use the source edition. Optional engine installation needs an initial official download (~330 MB); ordinary source verification works without it.

Source-only assessments remain under investigation. Loaded-code attestation, arbitrary remote/authenticated targets, executable AST slicing, LLM candidate generation, OpenVEX export and MCP are outside this release. See the illustrated guide and dependency scope.

日本語：SAST個別ID・ソース照合付きローカル検証・任意ZAP導入と試行別の受動証拠に対応しました。結果と日英教材を実行画面から参照できます。ソースだけの評価は調査中であり、ZAP警告や無検出だけから脆弱性・安全を確定しません。macOSは署名・公証済み、Windowsは未署名です。各配布物のSHA-256を添付しています。

Web Security Hub 2.0.0

専用サンプルの検証を、アプリ画面から実行できるようになりました。

• 正常版・問題を入れた版・修正版を比較し、所有権、確認手順、入力境界を検証できます。
• 実行上限、進捗、取消、個別の証拠、アプリ内HTMLレポートに対応しました。
• 操作中に参照できる日英の画像付きハンズオン教材を追加しました。
• サンプル検証はモデルや診断ブラウザーの追加導入なしで利用できます。CLIも利用できます。
• Windows版の同梱Node起動時のパス形式によるエラーを修正しました。

macOS / Apple Silicon版はDeveloper ID署名・Apple公証済みです。Windows / x64版は未署名です。SHA-256ファイルを同梱しています。

対象は架空データを使うローカル専用サンプルです。検出なしは安全性の証明にはならず、OpenVEXの確定出力やLLM/MCP統合は含みません。

---

Run local sample verification directly from the desktop app.

• Compare baseline, intentionally changed and fixed samples for ownership, confirmation workflow and input boundaries.
• Set execution limits, inspect progress, cancel runs, inspect correlated evidence and read HTML reports inside the app.
• Follow illustrated Japanese and English hands-on materials without leaving the current workspace.
• No model or automation-browser installation is required for sample verification. The CLI remains available.
• Fixed bundled Node startup on Windows when runtime paths use the verbatim drive format.

The macOS / Apple Silicon build is Developer ID signed and Apple notarized. The Windows / x64 build is unsigned. SHA-256 checksum files are included.

Verification targets the dedicated local fixture with synthetic data. No findings do not prove safety. Final OpenVEX export and LLM/MCP integration are not included.

Web Security Hub Desktop v1.3.0 Preview

Desktop preview with bilingual illustrated training and a desktop workspace.

• macOS Apple Silicon: Developer ID signed and Apple notarized.
• Windows x64: unsigned NSIS installer built on the Windows GitHub runner; 46 tests passed.
• Node.js is bundled. First-time setup downloads the automation browser.
• Public source and training are included. Local signing configuration, credentials, internal notes and run artifacts are excluded.
• This package covers web workflows. Mobile tooling remains in the source edition.

Verify downloads using the accompanying SHA-256 files. Windows interactive smoke testing is pending.

ver1.3

Web Security Hub 1.3.0. Includes CITATION.cff and Zenodo metadata (ORCID) for citation and DOI archiving. Apache-2.0.