agent-bom v0.97.4

_{Les marques ci-dessus représentent les backends de découverte, d'analyse, de connexion, de déploiement ou de preuves pris en charge — pas une profondeur de connecteur identique. Voir la matrice des capacités.}

Analyseur de sécurité open source et plan de contrôle auto-hébergé pour l'IA, MCP et l'infrastructure cloud.

15 écosystèmes de paquets · 16 surfaces de conformité · 84 outils MCP · aucun compte requis
Démarrage rapide · Démo en direct · Documentation

Découvrir → Analyser → Corréler → Agir

agent-bom analyse les dépôts et les chaînes d'approvisionnement logicielles à travers SCA, les secrets, l'IaC et les conteneurs ; inventorie les agents IA, MCP, les modèles et les jeux de données ; et connecte des sources cloud, d'identité, Snowflake et de données en lecture seule. Il normalise ces preuves en un modèle unique Finding + UnifiedGraph, corrèle le risque atteignable, puis fait avancer le travail à travers le propriétaire, le correctif, la vérification, les preuves de conformité ou la politique d'exécution.

point d'entrée agent ou outil → serveur MCP → paquet → constatation → impact → propriétaire → correctif → vérification

Exécutez ad hoc en local ou dans CI, ou utilisez votre plan de contrôle auto-hébergé pour des analyses planifiées ou connectées, l'historique, les affectations et l'application des règles d'exécution. Les sources brutes et les identifiants restent à l'intérieur de la frontière d'exécution contrôlée par le client ; les relations collectées, déduites, statiques et d'exécution restent distinctes ; les preuves incomplètes restent explicites.

Démarrage rapide · Flux de travail des preuves · Matrice des capacités d'intégration · Preuve du matcher mesuré · Architecture du plan de contrôle

À qui cela s'adresse

L'ingénierie de sécurité et la GRC restent des flux de travail séparés : les constatations et l'atteignabilité ne sont pas présentées comme une certification d'audit. Voir limites du produit.

Parcours produit

Les captures ci-dessous utilisent un échantillon d'environnement clairement étiqueté ; les analyses en direct utilisent les mêmes contrats Finding + UnifiedGraph. Sélectionnez n'importe quelle image pour la preuve en taille réelle.

1 · Découvrir l'inventaire	2 · Analyser
3 · Graphe atteignable	4 · Chemin classé
5 · Agir et vérifier

Continuer vers l'application des règles d'exécution dans la galerie complète du produit · Protocole de capture

Démarrage rapide

Commencez ici. C'est la porte d'entrée — deux commandes, aucun compte, aucune configuration. L'échantillon hors ligne se termine sans télécharger de base de données d'avis et montre la forme de sortie de l'inventaire, des constatations et du rayon d'impact.

pip install agent-bom
agent-bom scan --demo --offline

L'échantillon contient intentionnellement un paquet connu comme malveillant, donc le statut de sortie 1 est attendu et le rapport imprimé est complet. Analysez un dépôt ensuite :

agent-bom scan .

L'analyse du dépôt montre l'inventaire, les constatations et l'impact atteignable. agent-bom scan . et agent-bom scan -p . sont la même commande ; PATH est un alias pour --project.

Besoin d'une analyse déconnectée ? Initialisez d'abord la plus petite base de données d'avis de paquets :

agent-bom db update --osv-ecosystem PyPI
agent-bom scan . --offline

Si cette base de données est manquante ou illisible, l'analyse écrit un artefact partiel lorsque -o est défini et se termine avec 1 ; CI ne peut donc pas confondre une couverture d'avis indisponible avec une analyse propre.

Sur une nouvelle base de données, cette commande ne couvre que l'écosystème sélectionné ; les paquets d'autres écosystèmes restent des lacunes de couverture hors ligne explicites. Répétez --osv-ecosystem pour un dépôt polyglotte, ou utilisez agent-bom db update --source osv pour l'archive tous-écosystèmes d'OSV. L'archive complète peut dépasser 1 Go, peut prendre plusieurs minutes et affiche une progression en direct avec le total exact lorsque le serveur le fournit. Exécutez la mise à jour plus large agent-bom db update lorsque vous avez également besoin des flux de distribution, de probabilité d'exploitation et de vulnérabilités connues exploitées.

Un code de sortie non nul est un verdict, pas un plantage. scan se termine avec 0 lorsque rien ne correspond à un seuil, et 1 lorsqu'un élément y correspond — un seuil --fail-on-* que vous définissez, un paquet connu comme malveillant, ou une analyse qui ne s'est pas terminée. Le rapport est imprimé en entier dans les deux cas, et la dernière ligne nomme le seuil qui a correspondu. Contrat complet des codes de sortie.

Enregistrez un artefact avec agent-bom scan . -f sarif -o findings.sarif, ou suivez le guide de première exécution pour les formats et l'utilisation CI.

Boucle quotidienne du développeur

Essayez l'analyseur sans l'installer, puis vérifiez un paquet avant de l'ajouter :

uvx agent-bom scan .
uvx agent-bom check [email protected] --ecosystem pypi

check renvoie un verdict pré-installation autorisé/non sûr/incomplet ; scan couvre le dépôt plus la configuration IA/MCP découverte. Pour rendre les seuils de dépendances et de secrets automatiques pour une équipe, épinglez les hooks consommateur fournis :

repos:
  - repo: https://github.com/msaad00/agent-bom
    rev: v0.102.0
    hooks:
      - id: agent-bom-secrets
      - id: agent-bom-scan

Exécutez pre-commit install une fois. Les hooks installent agent-bom dans leur propre environnement isolé, donc les contributeurs n'ont pas besoin d'une installation globale séparée. Comportement des hooks et exemples CI.

agent-bom scan --demo --offline

Auto-hébergement

Démarrez le plan de contrôle en boucle locale :

pip install 'agent-bom[ui]'
agent-bom serve

Pour un déploiement partagé, utilisez le chemin Docker ou Helm documenté et configurez une véritable identité, TLS, PostgreSQL, le chiffrement et les clés d'audit avant de l'exposer.

Les exemples ciblent cette version candidate ; confirmez la disponibilité de la version avant de copier une épingle exacte. Sinon, utilisez la dernière version affichée sur PyPI.

Vue d'ensemble du déploiement · Configuration entreprise · Connexions cloud

Confiance

• Découverte en lecture seule par défaut ; les décisions d'écriture d'exécution sont séparées et explicites.
• Les identifiants sont en écriture seule là où ils sont stockés, chiffrés au repos et jamais renvoyés par les réponses API.
• Les routes API et du plan de contrôle sont limitées au locataire et protégées par authentification en dehors du mode local explicite.
• Les preuves manquantes sont affichées comme indisponibles ou partielles, jamais converties en zéro factuel.
• Les exemples publics et les captures d'écran utilisent uniquement des identifiants synthétiques déterministes.

Modèle de menaces · Vérification des versions · Politique de sécurité · Modèle de sécurité MCP

Contribuer et support

Bloqué, ou pas sûr de l'endroit où poser une question ? SUPPORT.md contient le routage et une déclaration honnête de la réponse à attendre.

Pour contribuer, commencez par CONTRIBUTING.md, AGENTS.md, et les problèmes ouverts.

Sous licence Apache-2.0.