vet

[!NOTE] vet Agent Skills के लिए विशेष मोड का समर्थन करता है। GitHub रिपॉज़िटरी में होस्ट किए गए Agent Skill को स्कैन करने के लिए vet scan --agent-skill <owner/repo> चलाएँ।

vet क्यों?

आधुनिक सॉफ्टवेयर का 70-90% ओपन सोर्स कोड है — आप कैसे जानते हैं कि यह सुरक्षित है?

पारंपरिक SCA उपकरण आपको CVE शोर में डुबो देते हैं। vet एक अलग दृष्टिकोण अपनाता है:

• शैडो AI खोज — विभिन्न टूल्स और कॉन्फ़िगरेशन में AI टूल उपयोग संकेतों का पता लगाएं
• मैलवेयर को शिप होने से पहले पकड़ें — स्टैटिक और डायनामिक बिहेवियरल विश्लेषण के माध्यम से ज़ीरो-डे का पता लगाना (SafeDep Cloud एक्सेस की आवश्यकता है)
• वल्नरेबिलिटी शोर को काटें — केवल उन जोखिमों को सामने लाने के लिए वास्तविक कोड उपयोग का विश्लेषण करता है जो मायने रखते हैं
• नीति को कोड के रूप में लागू करें — सुरक्षा, लाइसेंस और गुणवत्ता आवश्यकताओं को CEL एक्सप्रेशन के रूप में व्यक्त करें
• CI/CD एकीकरण — CI/CD में ज़ीरो-कॉन्फ़िग सुरक्षा गार्डरेल

ओपन सोर्स के लिए निःशुल्क। होस्टेड SaaS SafeDep पर उपलब्ध है।

त्वरित आरंभ

सेकंडों में इंस्टॉल करें:

# macOS & Linux
brew install safedep/tap/vet

# Using npm
npm install -g @safedep/vet

या प्री-बिल्ट बाइनरी डाउनलोड करें

तुरंत शुरू करें:

# Scan for malware in your dependencies
vet scan -D . --malware-query

# Fail CI on critical vulnerabilities
vet scan -D . --filter 'vulns.critical.exists(p, true)' --filter-fail

आर्किटेक्चर

vet एक पाइपलाइन आर्किटेक्चर का अनुसरण करता है: readers विविध स्रोतों (डायरेक्टरी, रिपॉज़िटरी, कंटेनर इमेज, SBOM) से पैकेज मेनिफेस्ट इन्जेस्ट करते हैं, enrichers SafeDep Cloud से प्रत्येक पैकेज को वल्नरेबिलिटी, मैलवेयर और स्कोरकार्ड डेटा से समृद्ध करते हैं, CEL policy engine समृद्ध डेटा के विरुद्ध सुरक्षा नीतियों का मूल्यांकन करता है, और reporters SARIF, JSON और Markdown जैसे प्रारूपों में कार्रवाई योग्य आउटपुट उत्पन्न करते हैं।

graph TB
    subgraph "OSS Ecosystem"
        R1[npm Registry]
        R2[PyPI Registry]
        R3[Maven Central]
        R4[Other Registries]
    end

    subgraph "SafeDep Cloud"
        M[Continuous Monitoring]
        A[Real-time Code Analysis<br/>Malware Detection]
        T[Threat Intelligence DB<br/>Vulnerabilities • Malware • Scorecard]
    end

    subgraph "vet CLI"
        S[Source Repository<br/>Scanner]
        P[CEL Policy Engine]
        O[Reports & Actions<br/>SARIF/JSON/CSV]
    end

    R1 -->|New Packages| M
    R2 -->|New Packages| M
    R3 -->|New Packages| M
    R4 -->|New Packages| M
    M -->|Behavioral Analysis| A
    A -->|Malware Signals| T

    S -->|Query Package Info| T
    T -->|Security Intelligence| S
    S -->|Analysis Results| P
    P -->|Policy Decisions| O

    style M fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
    style A fill:#E8A87C,stroke:#B88A5A,color:#1a1a1a
    style T fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
    style S fill:#90C695,stroke:#6B9870,color:#1a1a1a
    style P fill:#E8C47C,stroke:#B89B5A,color:#1a1a1a
    style O fill:#B8A3D4,stroke:#9478AA,color:#1a1a1a

मुख्य विशेषताएं

दुर्भावनापूर्ण पैकेज का पता लगाना

SafeDep Cloud द्वारा संचालित दुर्भावनापूर्ण पैकेजों से रीयल-टाइम सुरक्षा। ओपन सोर्स प्रोजेक्ट्स के लिए निःशुल्क। सक्रिय कोड विश्लेषण के माध्यम से ज़ीरो-डे मैलवेयर का पता लगाता है।

वल्नरेबिलिटी विश्लेषण

आपको शोर से भर देने वाले डिपेंडेंसी स्कैनरों के विपरीत, vet वास्तविक जोखिमों को प्राथमिकता देने के लिए आपके वास्तविक कोड उपयोग का विश्लेषण करता है। विवरण के लिए डिपेंडेंसी उपयोग प्रमाण देखें।

कोड के रूप में नीति

CEL एक्सप्रेशन का उपयोग करके सुरक्षा नीतियों को परिभाषित करें, ताकि संदर्भ-विशिष्ट आवश्यकताओं को लागू किया जा सके:

# Block packages with critical CVEs
vet scan --filter 'vulns.critical.exists(p, true)' --filter-fail

# Enforce license compliance
vet scan --filter 'licenses.contains_license("GPL-3.0")' --filter-fail

# Require minimum OpenSSF Scorecard scores
vet scan --filter 'scorecard.scores.Maintained < 5' --filter-fail

मल्टी-इकोसिस्टम समर्थन

पैकेज मैनेजर: npm, PyPI, Maven, Go, Ruby, Rust, PHP कंटेनर इमेज: Docker, OCI SBOM प्रारूप: CycloneDX, SPDX स्रोत रिपॉज़िटरी: GitHub, GitLab

दुर्भावनापूर्ण पैकेज का पता लगाना

दुर्भावनापूर्ण पैकेजों से रीयल-टाइम सुरक्षा, SafeDep के थ्रेट इंटेलिजेंस डेटाबेस को क्वेरी करके प्राप्त की जाती है, जो स्टैटिक और डायनामिक बिहेवियरल विश्लेषण के माध्यम से निरंतर अपडेट होता रहता है।

त्वरित सेटअप

# Query known malicious packages (no API key needed)
vet scan -D . --malware-query

[!NOTE] --malware फ़्लैग deprecated है। SafeDep के थ्रेट इंटेलिजेंस डेटाबेस को क्वेरी करने के पक्ष में सक्रिय (ऑन-डिमांड) स्कैनिंग को बंद कर दिया गया है। --malware अब --malware-query के समान व्यवहार करता है और पिछड़े संगतता (backward compatibility) के लिए इसे बनाए रखा गया है।

पहचान के उदाहरण:

• MAL-2025-3541: express-cookie-parser
• MAL-2025-4339: eslint-config-airbnb-compat
• MAL-2025-4029: ts-runtime-compat-check

मुख्य सुरक्षा विशेषताएं:

• SafeDep के ज्ञात दुर्भावनापूर्ण पैकेज डेटाबेस के विरुद्ध रीयल-टाइम लुकअप
• स्टैटिक और डायनामिक विश्लेषण का उपयोग करके बिहेवियरल विश्लेषण (SafeDep Cloud में निरंतर किया जाता है)
• उच्च-प्रभाव वाले निष्कर्षों के लिए ह्यूमन-इन-द-लूप ट्राइएजिंग
• पारदर्शिता के लिए सार्वजनिक विश्लेषण लॉग

उन्नत उपयोग

# Specialized scans
vet scan --vsx --malware-query                  # VS Code extensions
vet scan -D .github/workflows --malware-query   # GitHub Actions
vet scan --image nats:2.10 --malware-query      # Container images

[!NOTE] vet inspect malware कमांड (एकल पैकेज का ऑन-डिमांड विश्लेषण) deprecated है और इसे भविष्य के रिलीज़ में हटा दिया जाएगा। SafeDep के ज्ञात दुर्भावनापूर्ण पैकेज डेटाबेस के विरुद्ध पैकेजों की जाँच करने के लिए vet scan --malware-query का उपयोग करें।

प्रोडक्शन-रेडी एकीकरण

GitHub Actions

CI/CD में ज़ीरो-कॉन्फ़िग सुरक्षा गार्डरेल: