vet

[!NOTE] vet supporta una modalità speciale per le Agent Skills. Esegui vet scan --agent-skill <owner/repo> per analizzare una Agent Skill ospitata in un repository GitHub.

Perché vet?

Il 70-90% del software moderno è codice open source — come fai a sapere che è sicuro?

Gli strumenti SCA tradizionali ti sommergono di rumore CVE. vet adotta un approccio diverso:

• Rilevamento Shadow AI — Rileva i segnali di utilizzo di strumenti AI attraverso vari strumenti e configurazioni
• Blocca il malware prima che venga rilasciato — Rilevamento zero-day tramite analisi comportamentale statica e dinamica (richiede l'accesso a SafeDep Cloud)
• Taglia il rumore delle vulnerabilità — Analizza l'uso effettivo del codice per far emergere solo i rischi che contano
• Applica la policy come codice — Esprimi i requisiti di sicurezza, licenza e qualità come espressioni CEL
• Integrazione CI/CD — Guardrail di sicurezza a configurazione zero in CI/CD

Gratuito per l'open source. SaaS ospitato disponibile su SafeDep.

Avvio Rapido

Installazione in pochi secondi:

# macOS & Linux
brew install safedep/tap/vet

# Using npm
npm install -g @safedep/vet

oppure scarica un binario precompilato

Inizia subito:

# Scan for malware in your dependencies
vet scan -D . --malware-query

# Fail CI on critical vulnerabilities
vet scan -D . --filter 'vulns.critical.exists(p, true)' --filter-fail

Architettura

vet segue un'architettura a pipeline: i reader acquisiscono i manifest dei pacchetti da diverse fonti (directory, repository, immagini container, SBOM), gli enricher arricchiscono ogni pacchetto con dati su vulnerabilità, malware e scorecard provenienti da SafeDep Cloud, il motore di policy CEL valuta le policy di sicurezza sui dati arricchiti e i reporter producono output utilizzabili in formati come SARIF, JSON e Markdown.

graph TB
    subgraph "OSS Ecosystem"
        R1[npm Registry]
        R2[PyPI Registry]
        R3[Maven Central]
        R4[Other Registries]
    end

    subgraph "SafeDep Cloud"
        M[Continuous Monitoring]
        A[Real-time Code Analysis<br/>Malware Detection]
        T[Threat Intelligence DB<br/>Vulnerabilities • Malware • Scorecard]
    end

    subgraph "vet CLI"
        S[Source Repository<br/>Scanner]
        P[CEL Policy Engine]
        O[Reports & Actions<br/>SARIF/JSON/CSV]
    end

    R1 -->|New Packages| M
    R2 -->|New Packages| M
    R3 -->|New Packages| M
    R4 -->|New Packages| M
    M -->|Behavioral Analysis| A
    A -->|Malware Signals| T

    S -->|Query Package Info| T
    T -->|Security Intelligence| S
    S -->|Analysis Results| P
    P -->|Policy Decisions| O

    style M fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
    style A fill:#E8A87C,stroke:#B88A5A,color:#1a1a1a
    style T fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
    style S fill:#90C695,stroke:#6B9870,color:#1a1a1a
    style P fill:#E8C47C,stroke:#B89B5A,color:#1a1a1a
    style O fill:#B8A3D4,stroke:#9478AA,color:#1a1a1a

Caratteristiche Principali

Rilevamento di Pacchetti Malevoli

Protezione in tempo reale contro i pacchetti malevoli basata su SafeDep Cloud. Gratuita per i progetti open source. Rileva malware zero-day tramite l'analisi attiva del codice.

Analisi delle Vulnerabilità

A differenza degli scanner di dipendenze che ti inondano di rumore, vet analizza il tuo uso effettivo del codice per dare priorità ai rischi reali. Consulta le prove dell'uso delle dipendenze per i dettagli.

Policy come Codice

Definisci le policy di sicurezza usando espressioni CEL per applicare requisiti specifici del contesto:

# Block packages with critical CVEs
vet scan --filter 'vulns.critical.exists(p, true)' --filter-fail

# Enforce license compliance
vet scan --filter 'licenses.contains_license("GPL-3.0")' --filter-fail

# Require minimum OpenSSF Scorecard scores
vet scan --filter 'scorecard.scores.Maintained < 5' --filter-fail

Supporto Multi-Ecosistema

Gestori di pacchetti: npm, PyPI, Maven, Go, Ruby, Rust, PHP Immagini container: Docker, OCI Formati SBOM: CycloneDX, SPDX Repository sorgenti: GitHub, GitLab

Rilevamento di Pacchetti Malevoli

Protezione in tempo reale contro i pacchetti malevoli interrogando il database di threat intelligence di SafeDep, popolato continuamente tramite analisi comportamentale statica e dinamica.

Configurazione Rapida

# Query known malicious packages (no API key needed)
vet scan -D . --malware-query

[!NOTE] Il flag --malware è deprecato. La scansione attiva (on-demand) è stata ritirata a favore dell'interrogazione del database di threat intelligence di SafeDep. --malware ora si comporta in modo identico a --malware-query ed è mantenuto per la compatibilità con le versioni precedenti.

Esempi di rilevamenti:

• MAL-2025-3541: express-cookie-parser
• MAL-2025-4339: eslint-config-airbnb-compat
• MAL-2025-4029: ts-runtime-compat-check

Caratteristiche di sicurezza principali:

• Ricerca in tempo reale nel database dei pacchetti malevoli noti di SafeDep
• Analisi comportamentale tramite analisi statica e dinamica (eseguita continuamente in SafeDep Cloud)
• Triaging human-in-the-loop per i risultati ad alto impatto
• Registro di analisi pubblico per la trasparenza

Utilizzo Avanzato

# Specialized scans
vet scan --vsx --malware-query                  # VS Code extensions
vet scan -D .github/workflows --malware-query   # GitHub Actions
vet scan --image nats:2.10 --malware-query      # Container images