agent-bom v0.99.0 — Open security scanner and self-hosted control plane for AI, MCP, and cloud. One evidence model — run scans in your environment, centralize findings, govern in your VPC.

Offener Sicherheitsscanner und selbst gehostete Control Plane für KI-, MCP- und Cloud-Infrastruktur.

15 Paket-Ökosysteme · 16 Compliance-Oberflächen · 77 MCP-Tools · kein Konto erforderlich
Schnellstart · Live-Demo · Dokumentation

Was es ist

agent-bom scannt Repositorys, Images und Cloud-Konten und führt die Ergebnisse anschließend in einem Modell aus Finding und UnifiedGraph zusammen – das CLI- und CI-Artefakte, Fleet- und Browser-Investigations, Compliance-Nachweise und Laufzeitrichtlinien ermöglicht. Nutze den Scanner ohne Konto oder stelle die Control Plane innerhalb deiner eigenen Cloud-, VPC-, Cluster-, Datenbank-, Identitäts- und Audit-Grenzen bereit.

Die Graph-Herkunft bleibt explizit: gesammelte, abgeleitete, statische und Laufzeit-Beziehungen bleiben getrennt, und nicht verfügbare Nachweise werden niemals zu beobachteten hochgestuft.

Architektur der Control Plane

Quellen, Evidence-Engine, Control Plane, API-, MCP- und Operator-Oberflächen in der selbst gehosteten agent-bom-Architektur

Für wen es gedacht ist

Workflows von Entwicklern, AppSec, Plattform, GRC sowie KI- oder MCP-Betreibern auf dem gemeinsamen Evidence-Modell

Rolle	Los geht's	Primäres Ergebnis
Entwickler	`agent-bom scan .`	Probleme finden und erklären, bevor Code die Workstation verlässt
AppSec	`agent-bom scan . -f sarif -o findings.sarif`	Erreichbare Findings triagieren und CI-Gates durchsetzen
Security-Engineers	`pip install 'agent-bom[ui]' && agent-bom serve`	Expositionspfade, Identitäten und Nachweis-Herkunft untersuchen
Plattform / SRE	`agent-bom connect aws`	Bestandsinventar, Jobs und Laufzeitkontrollen zentralisieren
GRC / Audit	`agent-bom report compliance-narrative scan.json`	Control-Mappings prüfen und Nachweise mit expliziten Lücken exportieren
Führung / CISO	`pip install 'agent-bom[ui]' && agent-bom serve`	Posture, Abdeckung, materielles Risiko und Veränderungen im Zeitverlauf prüfen
KI- / MCP-Betreiber	`pip install 'agent-bom[mcp-server]' && agent-bom mcp server`	Tools inventarisieren und Entscheidungen zu Erlauben, Warnen oder Blockieren anwenden

AppSec und GRC bleiben getrennte Workflows: Findings und Erreichbarkeit werden nicht als Audit-Zertifizierung präsentiert. Siehe Produktgrenzen.

Produktgalerie

Die Galerie verwendet deterministische Beispieldaten, die in der UI deutlich gekennzeichnet sind. Sie ist ein Nachweis des Produktzustands, keine Kunden- oder Advisory-Belege.

Übersicht	Findings

Untersuchung	Behebung

Cloud- und Umgebungs-Lineage	Agent-Mesh

Capture-Protokoll

Schnellstart

Gegen das Repository in deinem aktuellen Verzeichnis ausführen:

pip install agent-bom
agent-bom scan .

Die Konsole zeigt Inventar, Findings und erreichbare Auswirkungen. Speichere ein Artefakt mit agent-bom scan . -f sarif -o findings.sarif oder folge dem Leitfaden für den ersten Lauf für Exit-Codes, Formate und CI-Nutzung.

Ohne Repository ausprobieren

Verwende die kuratierte, ausdrücklich synthetische Beispielprobe, wenn du nur die Struktur der Ausgabe prüfen möchtest:

agent-bom scan --demo --offline

Die Beispielprobe enthält absichtlich blockierende Findings, daher ist der Exit-Status 1 zu erwarten.

Synthetischer agent-bom-Konsolen-Scan mit Inventar, Findings und Behebung

Selbst hosten

Starte die Loopback-Control-Plane:

pip install 'agent-bom[ui]'
agent-bom serve

Für eine gemeinsame Bereitstellung nutze den dokumentierten Docker- oder Helm-Pfad und konfiguriere echte Identität, TLS, PostgreSQL, Verschlüsselung und Audit-Schlüssel, bevor du sie zugänglich machst.

Ziel	Los geht's
Docker Compose	Platform-Compose — PostgreSQL, geteilte Secrets, Migrations-Job
Docker Compose (Evaluierung)	Pilot-Compose — nur Loopback, SQLite, keine Authentifizierung
Helm / Kubernetes	`helm install agent-bom oci://ghcr.io/msaad00/charts/agent-bom --version 0.99.0`
EKS	Terraform-Modul
Snowflake SPCS / Native App	`scripts/deploy/install.sh snowflake-native` · Installationsanleitung
Air-gapped	Image-Bundle-Anleitung

Die Beispiele beziehen sich auf diesen Release-Kandidaten; prüfe die Verfügbarkeit des Releases, bevor du einen exakten Pin übernimmst. Verwende andernfalls die aktuelle auf PyPI angezeigte Version.

Bereitstellungsübersicht · Enterprise-Konfiguration · Cloud-Verbindungen

Erweiterte Integrationen und Laufzeit-Einstiegspunkte

Bedarf	Erste Aktion	Artefakt oder nächster Schritt
GitHub CI	`uses: msaad00/[email protected]`	SARIF, PR-Zusammenfassung und Policy-Exit-Code
Cloud-Nachweise	`agent-bom connect aws`	Gespeicherte Verbindungsreferenz; Scans über die Control Plane ausführen
Laufzeit-Gateway	`agent-bom gateway serve --from-control-plane http://127.0.0.1:8422 --bind 127.0.0.1:8090`	Audit-Ereignisse für Erlauben, Warnen und Blockieren
Agent-Schnittstelle	`agent-bom mcp server`	77 MCP-Tools, 6 Ressourcen und 8 Workflow-Prompts
Agent-Verteilung	Smithery-Manifest · Glama · MCP-Registry · Docker-MCP	Registry-spezifische Installationsmetadaten

Der MCP-Server-Modus stellt 77 MCP-Tools, 6 Ressourcen und 8 Workflow-Prompts bereit, alle read-first: Erkennung und Analyse mutieren niemals ein gescanntes Ziel.

CLI, Docker, API, Helm-Chart, MCP-Server, Gateway und SDK sind Verteilungswege desselben Produkts. Die Snowflake-SPCS-/Native-App-Variante läuft innerhalb des Snowflake-Kontos des Kunden; sie ist ein kundeneigenes Bereitstellungsziel, kein von agent-bom gehosteter Dienst. Snowflake und Snowpark bleiben außerdem Connector- und Laufzeit-Integrationen für die anderen Bereitstellungsprofile.

Alle Installationsmöglichkeiten

Vertriebsweg	Bezug
Python-Paket	`pip install agent-bom` — PyPI
Container	`docker pull agentbom/agent-bom` — Docker Hub
Kubernetes	`helm install agent-bom oci://ghcr.io/msaad00/charts/agent-bom`
GitHub Action	`msaad00/agent-bom`
MCP-Server	`pip install 'agent-bom[mcp-server]' && agent-bom mcp server`
MCP-Registries	Smithery-Manifest · Glama · MCP-Registry · Docker-MCP
SDKs	Python · TypeScript · Go

Vertrauen

Read-only-Erkennung standardmäßig; Laufzeit-Schreibentscheidungen sind getrennt und explizit.
Anmeldedaten sind dort, wo sie gespeichert werden, write-only, im Ruhezustand verschlüsselt und werden niemals in API-Antworten zurückgegeben.
API- und Control-Plane-Routen sind mandantenbezogen und außerhalb des expliziten lokalen Modus durch Authentifizierung geschützt.
Fehlende Nachweise werden als nicht verfügbar oder teilweise angezeigt, niemals in eine faktische Null umgewandelt.
Öffentliche Beispiele und Screenshots verwenden ausschließlich deterministische synthetische Kennungen.

Bedrohungsmodell · Release-Verifizierung · Sicherheitsrichtlinie · MCP-Sicherheitsmodell

Mitwirken

Beginne mit CONTRIBUTING.md, AGENTS.md und den offenen Issues.

Lizenziert unter Apache-2.0.