vet v1.18.1 — Protect against malicious open source packages 🤖

Inicio Rápido • Documentación • Comunidad

[!NOTE] vet soporta un modo especial para Agent Skills. Ejecuta vet scan --agent-skill <owner/repo> para escanear un Agent Skill alojado en un repositorio de GitHub.

¿Por qué vet?

El 70–90 % del software moderno es código abierto — ¿cómo sabes que es seguro?

Las herramientas SCA tradicionales te ahogan en ruido de CVE. vet adopta un enfoque diferente:

Descubrimiento de IA sombra — Descubre señales de uso de herramientas de IA en diversas herramientas y configuraciones
Detecta malware antes de que se distribuya — Detección de día cero mediante análisis de comportamiento estático y dinámico (requiere acceso a SafeDep Cloud)
Elimina el ruido de vulnerabilidades — Analiza el uso real del código para mostrar solo los riesgos que importan
Aplica políticas como código — Expresa requisitos de seguridad, licencias y calidad como expresiones CEL
Integración CI/CD — Barreras de seguridad con configuración cero en CI/CD

Gratuito para código abierto. SaaS alojado disponible en SafeDep.

Inicio Rápido

Instalar en segundos:

# macOS & Linux
brew install safedep/tap/vet

# Using npm
npm install -g @safedep/vet

o descarga un binario precompilado

Empieza de inmediato:

# Scan for malware in your dependencies
vet scan -D . --malware-query

# Fail CI on critical vulnerabilities
vet scan -D . --filter 'vulns.critical.exists(p, true)' --filter-fail

Arquitectura

vet sigue una arquitectura de tubería: los lectores ingieren manifiestos de paquetes de diversas fuentes (directorios, repositorios, imágenes de contenedores, SBOMs), los enriquecedores aumentan cada paquete con datos de vulnerabilidades, malware y scorecard desde SafeDep Cloud, el motor de políticas CEL evalúa políticas de seguridad contra datos enriquecidos, y los generadores de informes producen resultados accionables en formatos como SARIF, JSON y Markdown.

Ver diagrama de arquitectura

graph TB
    subgraph "OSS Ecosystem"
        R1[npm Registry]
        R2[PyPI Registry]
        R3[Maven Central]
        R4[Other Registries]
    end

    subgraph "SafeDep Cloud"
        M[Continuous Monitoring]
        A[Real-time Code Analysis<br/>Malware Detection]
        T[Threat Intelligence DB<br/>Vulnerabilities • Malware • Scorecard]
    end

    subgraph "vet CLI"
        S[Source Repository<br/>Scanner]
        P[CEL Policy Engine]
        O[Reports & Actions<br/>SARIF/JSON/CSV]
    end

    R1 -->|New Packages| M
    R2 -->|New Packages| M
    R3 -->|New Packages| M
    R4 -->|New Packages| M
    M -->|Behavioral Analysis| A
    A -->|Malware Signals| T

    S -->|Query Package Info| T
    T -->|Security Intelligence| S
    S -->|Analysis Results| P
    P -->|Policy Decisions| O

    style M fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
    style A fill:#E8A87C,stroke:#B88A5A,color:#1a1a1a
    style T fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
    style S fill:#90C695,stroke:#6B9870,color:#1a1a1a
    style P fill:#E8C47C,stroke:#B89B5A,color:#1a1a1a
    style O fill:#B8A3D4,stroke:#9478AA,color:#1a1a1a

Funcionalidades Clave

Detección de Paquetes Maliciosos

Protección en tiempo real contra paquetes maliciosos impulsada por SafeDep Cloud. Gratuito para proyectos de código abierto. Detecta malware de día cero mediante análisis activo de código.

Análisis de Vulnerabilidades

A diferencia de los escáneres de dependencias que te inundan de ruido, vet analiza el uso real de tu código para priorizar los riesgos reales. Consulta evidencia de uso de dependencias para más detalles.

Política como Código

Define políticas de seguridad usando expresiones CEL para aplicar requisitos específicos del contexto:

# Block packages with critical CVEs
vet scan --filter 'vulns.critical.exists(p, true)' --filter-fail

# Enforce license compliance
vet scan --filter 'licenses.contains_license("GPL-3.0")' --filter-fail

# Require minimum OpenSSF Scorecard scores
vet scan --filter 'scorecard.scores.Maintained < 5' --filter-fail

Soporte Multi-Ecosistema

Gestores de paquetes: npm, PyPI, Maven, Go, Ruby, Rust, PHP Imágenes de contenedores: Docker, OCI Formatos SBOM: CycloneDX, SPDX Repositorios fuente: GitHub, GitLab

Detección de Paquetes Maliciosos

Protección en tiempo real contra paquetes maliciosos consultando la base de datos de inteligencia de amenazas de SafeDep, poblada continuamente mediante análisis estático y dinámico de comportamiento.

Configuración Rápida

# Query known malicious packages (no API key needed)
vet scan -D . --malware-query

[!NOTE] La bandera --malware está obsoleta. El escaneo activo (bajo demanda) se ha retirado en favor de la consulta a la base de datos de inteligencia de amenazas de SafeDep. Ahora --malware se comporta de forma idéntica a --malware-query y se mantiene por compatibilidad hacia atrás.

Ejemplos de detecciones:

Características clave de seguridad:

Consultas en tiempo real contra la base de datos de paquetes maliciosos conocidos de SafeDep
Análisis de comportamiento mediante análisis estático y dinámico (realizado continuamente en SafeDep Cloud)
Triaje con intervención humana para hallazgos de alto impacto
Registro de análisis público para transparencia

Uso Avanzado

# Specialized scans
vet scan --vsx --malware-query                  # VS Code extensions
vet scan -D .github/workflows --malware-query   # GitHub Actions
vet scan --image nats:2.10 --malware-query      # Container images

[!NOTE] El comando vet inspect malware (análisis bajo demanda de un solo paquete) está obsoleto y se eliminará en una versión futura. Usa vet scan --malware-query para verificar paquetes contra la base de datos de paquetes maliciosos conocidos de SafeDep.

Integraciones Listas para Producción

GitHub Actions

Barreras de seguridad con configuración cero en CI/CD:

- uses: safedep/vet-action@v1
  with:
    policy: ".github/vet/policy.yml"

Consulta la documentación de vet-action.

GitLab CI

Escaneo empresarial con vet CI Component:

include:
  - component: gitlab.com/safedep/ci-components/vet/scan@main

Integración con Contenedores

Ejecuta vet en cualquier lugar usando nuestra imagen de contenedor:

docker run --rm -v $(pwd):/app ghcr.io/safedep/vet:latest scan -D /app --malware-query

Instalación

Homebrew (Recomendado)

brew install safedep/tap/vet

npm

npm install @safedep/vet

Descarga Directa

Consulta releases para binarios precompilados.

Go Install

go install github.com/safedep/vet@latest

Imagen de Contenedor

# Quick test
docker run --rm ghcr.io/safedep/vet:latest version

# Scan local directory
docker run --rm -v $(pwd):/workspace ghcr.io/safedep/vet:latest scan -D /workspace

Verificar Instalación

vet version
# Should display version and build information

Funcionalidades Avanzadas

Aprende más en nuestra documentación completa:

Descubrimiento de Uso de IA — Descubre señales de uso de herramientas de IA en diversas herramientas y configuraciones
Modo Agente de IA — Ejecuta vet como un agente de IA
Servidor MCP — Ejecuta vet como un servidor MCP para análisis de código asistido por IA
Generación de Informes — Formatos SARIF, JSON, CSV, HTML, Markdown
Soporte SBOM — Importación/exportación CycloneDX, SPDX
Modo Consulta — Escanea una vez, analiza múltiples veces
Integración con GitHub — Escaneo de repositorios y organizaciones
Fijación de Acciones de GitHub — Fija acciones de GitHub a SHAs de commit para prevenir ataques a la cadena de suministro

Privacidad

vet recopila telemetría anónima de uso para mejorar el producto. Tu código e información de paquetes nunca se transmiten.

# Disable telemetry (optional)
export VET_DISABLE_TELEMETRY=true

Comunidad y Soporte

Únete a la Comunidad

Obtén Ayuda y Comparte Ideas

Tutorial Interactivo — Aprende vet en la práctica
Documentación Completa — Guías exhaustivas
Comunidad en Discord — Soporte en tiempo real
Rastreador de Incidencias — Informes de errores y solicitudes de funciones
Guía de Contribución — Únete al desarrollo

Historial de Estrellas

Construido con Código Abierto

vet se apoya en hombros de gigantes:

OSV • OpenSSF Scorecard • SLSA • OSV-SCALIBR • Syft

Contribuidores

Gracias a todos los contribuidores ❤️

Asegura tu cadena de suministro hoy. ¡Dale estrella al repo y empieza!

Creado con amor por SafeDep y la comunidad de código abierto