agent-bom v0.98.1

_{I marchi sopra rappresentano backend supportati di discovery, scansione, connessione, deployment o evidenze — non una profondità di connettore identica. Consulta la matrice delle capacità.}

Scanner di sicurezza open source e control plane self-hosted per infrastrutture AI, MCP e cloud.

15 ecosistemi di pacchetti · 16 superfici di conformità · 84 strumenti MCP · nessun account richiesto
Avvio rapido · Demo live · Documentazione

Scopri → Scansiona → Correla → Agisci

agent-bom scansiona repository e supply chain software su SCA, segreti, IaC e container; inventaria agenti AI, MCP, modelli e dataset; e collega fonti cloud, identità, Snowflake e dati in sola lettura. Normalizza queste evidenze in un unico modello Finding + UnifiedGraph, correla il rischio raggiungibile, poi porta il lavoro attraverso proprietario, fix, verifica, evidenze di conformità o policy runtime.

entrypoint agente o strumento → server MCP → pacchetto → finding → impatto → proprietario → fix → verifica

Esegui ad hoc in locale o in CI, oppure usa il tuo control plane self-hosted per scansioni pianificate o connesse, cronologia, assegnazioni e applicazione runtime. Il codice sorgente grezzo e le credenziali restano all'interno del confine di esecuzione controllato dal cliente; le relazioni raccolte, inferite, statiche e runtime restano distinte; le evidenze incomplete restano esplicite.

Avvio rapido · Flusso di lavoro delle evidenze · Matrice delle capacità di integrazione · Prova del matcher misurato · Architettura del control plane

A chi è destinato

L'ingegneria della sicurezza e la GRC restano flussi di lavoro separati: i finding e la raggiungibilità non vengono presentati come certificazione di audit. Vedi confini di prodotto.

Percorso del prodotto

Le catture seguenti usano un ambiente di esempio etichettato in modo visibile; le scansioni live usano gli stessi contratti Finding + UnifiedGraph. Seleziona qualsiasi immagine per la prova a piena risoluzione.

1 · Scopri l'inventario	2 · Scansiona
3 · Grafo raggiungibile	4 · Percorso classificato
5 · Agisci e verifica

Continua con l'applicazione runtime nella galleria completa del prodotto · Protocollo di cattura

Avvio rapido

Inizia qui. Questa è la porta d'ingresso — due comandi, nessun account, nessuna configurazione. L'esempio offline si completa senza scaricare un database di advisory e mostra la forma di output di inventario, finding e blast radius.

pip install agent-bom
agent-bom scan --demo --offline

L'esempio contiene intenzionalmente un pacchetto noto come dannoso, quindi lo stato di uscita 1 è previsto e il report stampato è completo. Scansiona un repository successivamente:

agent-bom scan .

La scansione del repository mostra inventario, finding e impatto raggiungibile. agent-bom scan . e agent-bom scan -p . sono lo stesso comando; PATH è un alias per --project.

Serve una scansione disconnessa? Inizializza prima il database di advisory pacchetti più piccolo:

agent-bom db update --osv-ecosystem PyPI
agent-bom scan . --offline

Se quel database manca o non è leggibile, la scansione scrive un artefatto parziale quando -o è impostato ed esce con 1; la CI quindi non può scambiare una copertura advisory non disponibile per una scansione pulita.

Su un database nuovo, quel comando copre solo l'ecosistema selezionato; i pacchetti di altri ecosistemi restano lacune di copertura offline esplicite. Ripeti --osv-ecosystem per un repository poliglotta, oppure usa agent-bom db update --source osv per l'archivio multi-ecosistema di OSV. L'archivio completo può superare 1 GB, può richiedere diversi minuti e mostra progressi live con il totale esatto quando il server lo fornisce. Esegui il più ampio agent-bom db update quando ti servono anche feed di distribuzione, probabilità di exploit e vulnerabilità note sfruttate.

Un codice di uscita non zero è un verdetto, non un crash. scan esce con 0 quando nulla ha corrisposto a un gate, e con 1 quando qualcosa lo ha fatto — una soglia --fail-on-* che imposti, un pacchetto noto come dannoso, o una scansione non completata. Il report viene stampato per intero in entrambi i casi, e l'ultima riga nomina il gate che ha corrisposto. Contratto completo dei codici di uscita.

Salva un artefatto con agent-bom scan . -f sarif -o findings.sarif, oppure segui la guida al primo utilizzo per formati e uso in CI.

Ciclo quotidiano dello sviluppatore

Prova lo scanner senza installarlo, poi controlla un pacchetto prima di aggiungerlo:

uvx agent-bom scan .
uvx agent-bom check [email protected] --ecosystem pypi

check restituisce un verdetto pre-installazione allow/unsafe/incomplete; scan copre il repository più la configurazione AI/MCP scoperta. Per rendere automatici sia i gate sulle dipendenze che sui segreti per un team, fissa gli hook consumer forniti:

repos:
  - repo: https://github.com/msaad00/agent-bom
    rev: v0.102.0
    hooks:
      - id: agent-bom-secrets
      - id: agent-bom-scan

Esegui pre-commit install una volta. Gli hook installano agent-bom nel loro ambiente isolato, quindi i contributori non necessitano di un'installazione globale separata. Comportamento degli hook ed esempi CI.

agent-bom scan --demo --offline

Self-host

Avvia il control plane in loopback:

pip install 'agent-bom[ui]'
agent-bom serve

Per un deployment condiviso, usa il percorso Docker o Helm documentato e configura identità reale, TLS, PostgreSQL, crittografia e chiavi di audit prima di esporlo.

Gli esempi puntano a questo release candidate; conferma la disponibilità della release prima di copiare un pin esatto. In alternativa, usa l'ultima versione mostrata su PyPI.

Panoramica del deployment · Configurazione enterprise · Connessioni cloud

Fiducia

• Discovery in sola lettura per impostazione predefinita; le decisioni di scrittura runtime sono separate ed esplicite.
• Le credenziali sono write-only dove memorizzate, crittografate a riposo e mai restituite dalle risposte API.
• Le rotte API e control-plane sono limitate per tenant e protette da autenticazione al di fuori della modalità locale esplicita.
• Le evidenze mancanti vengono mostrate come non disponibili o parziali, mai convertite in uno zero fattuale.
• Esempi pubblici e screenshot usano solo identificatori sintetici deterministici.

Modello di minaccia · Verifica della release · Policy di sicurezza · Modello di sicurezza MCP

Contribuire e supporto

Bloccato, o non sai dove va una domanda? SUPPORT.md ha il routing e una dichiarazione onesta di quale risposta aspettarti.

Per contribuire, inizia con CONTRIBUTING.md, AGENTS.md, e le issue aperte.

Licenza Apache-2.0.