vet v1.18.1 — Protect against malicious open source packages 🤖

Início Rápido • Documentação • Comunidade

[!NOTE] O vet suporta um modo especial para Agent Skills. Execute vet scan --agent-skill <owner/repo> para escanear uma Agent Skill hospedada em um repositório do GitHub.

Por que vet?

70-90% do software moderno é código aberto — como você sabe que é seguro?

Ferramentas tradicionais de SCA afogam você em ruído de CVEs. O vet adota uma abordagem diferente:

Descoberta de Shadow AI — Descobre sinais de uso de ferramentas de IA em diversas ferramentas e configurações
Capture malware antes que ele seja distribuído — Detecção de zero-day por meio de análise comportamental estática e dinâmica (requer acesso ao SafeDep Cloud)
Atravesse o ruído de vulnerabilidades — Analisa o uso real do código para expor apenas os riscos que importam
Imponha políticas como código — Expresse requisitos de segurança, licença e qualidade como expressões CEL
Integração CI/CD — Salvaguardas de segurança sem configuração em CI/CD

Gratuito para código aberto. SaaS hospedado disponível em SafeDep.

Início Rápido

Instale em segundos:

# macOS & Linux
brew install safedep/tap/vet

# Using npm
npm install -g @safedep/vet

ou baixe um binário pré-compilado

Comece imediatamente:

# Scan for malware in your dependencies
vet scan -D . --malware-query

# Fail CI on critical vulnerabilities
vet scan -D . --filter 'vulns.critical.exists(p, true)' --filter-fail

Arquitetura

O vet segue uma arquitetura de pipeline: os readers ingerem manifestos de pacotes de diversas fontes (diretórios, repositórios, imagens de contêiner, SBOMs), os enrichers enriquecem cada pacote com dados de vulnerabilidades, malware e scorecard do SafeDep Cloud, o mecanismo de políticas CEL avalia políticas de segurança com base nos dados enriquecidos, e os reporters produzem saídas acionáveis em formatos como SARIF, JSON e Markdown.

Ver diagrama de arquitetura

graph TB
    subgraph "OSS Ecosystem"
        R1[npm Registry]
        R2[PyPI Registry]
        R3[Maven Central]
        R4[Other Registries]
    end

    subgraph "SafeDep Cloud"
        M[Continuous Monitoring]
        A[Real-time Code Analysis<br/>Malware Detection]
        T[Threat Intelligence DB<br/>Vulnerabilities • Malware • Scorecard]
    end

    subgraph "vet CLI"
        S[Source Repository<br/>Scanner]
        P[CEL Policy Engine]
        O[Reports & Actions<br/>SARIF/JSON/CSV]
    end

    R1 -->|New Packages| M
    R2 -->|New Packages| M
    R3 -->|New Packages| M
    R4 -->|New Packages| M
    M -->|Behavioral Analysis| A
    A -->|Malware Signals| T

    S -->|Query Package Info| T
    T -->|Security Intelligence| S
    S -->|Analysis Results| P
    P -->|Policy Decisions| O

    style M fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
    style A fill:#E8A87C,stroke:#B88A5A,color:#1a1a1a
    style T fill:#7CB9E8,stroke:#5A8DB8,color:#1a1a1a
    style S fill:#90C695,stroke:#6B9870,color:#1a1a1a
    style P fill:#E8C47C,stroke:#B89B5A,color:#1a1a1a
    style O fill:#B8A3D4,stroke:#9478AA,color:#1a1a1a

Principais Recursos

Detecção de Pacotes Maliciosos

Proteção em tempo real contra pacotes maliciosos com tecnologia do SafeDep Cloud. Gratuito para projetos de código aberto. Detecta malware zero-day por meio de análise ativa de código.

Análise de Vulnerabilidades

Diferente de scanners de dependências que inundam você com ruído, o vet analisa o uso real do seu código para priorizar riscos reais. Consulte evidências de uso de dependências para obter detalhes.

Política como Código

Defina políticas de segurança usando expressões CEL para impor requisitos específicos de contexto:

# Block packages with critical CVEs
vet scan --filter 'vulns.critical.exists(p, true)' --filter-fail

# Enforce license compliance
vet scan --filter 'licenses.contains_license("GPL-3.0")' --filter-fail

# Require minimum OpenSSF Scorecard scores
vet scan --filter 'scorecard.scores.Maintained < 5' --filter-fail

Suporte a Múltiplos Ecossistemas

Gerenciadores de pacotes: npm, PyPI, Maven, Go, Ruby, Rust, PHP Imagens de contêiner: Docker, OCI Formatos de SBOM: CycloneDX, SPDX Repositórios de código-fonte: GitHub, GitLab

Detecção de Pacotes Maliciosos

Proteção em tempo real contra pacotes maliciosos por meio de consultas ao banco de inteligência de ameaças do SafeDep, continuamente alimentado por análise comportamental estática e dinâmica.

Configuração Rápida

# Query known malicious packages (no API key needed)
vet scan -D . --malware-query

[!NOTE] A flag --malware está obsoleta. A varredura ativa (sob demanda) foi descontinuada em favor da consulta ao banco de inteligência de ameaças do SafeDep. A --malware agora se comporta de forma idêntica à --malware-query e é mantida para compatibilidade com versões anteriores.

Exemplos de detecções:

Principais recursos de segurança:

Consultas em tempo real ao banco de dados de pacotes maliciosos conhecidos do SafeDep
Análise comportamental usando análise estática e dinâmica (realizada continuamente no SafeDep Cloud)
Triagem com supervisão humana (human-in-the-loop) para descobertas de alto impacto
Registro de análise público para transparência

Uso Avançado

# Specialized scans
vet scan --vsx --malware-query                  # VS Code extensions
vet scan -D .github/workflows --malware-query   # GitHub Actions
vet scan --image nats:2.10 --malware-query      # Container images

[!NOTE] O comando vet inspect malware (análise sob demanda de um único pacote) está obsoleto e será removido em uma versão futura. Use vet scan --malware-query para verificar pacotes no banco de dados de pacotes maliciosos conhecidos do SafeDep.

Integrações Prontas para Produção

GitHub Actions

Salvaguardas de segurança sem configuração em CI/CD:

- uses: safedep/vet-action@v1
  with:
    policy: ".github/vet/policy.yml"

Consulte a documentação do vet-action.

GitLab CI

Varredura empresarial com o vet CI Component:

include:
  - component: gitlab.com/safedep/ci-components/vet/scan@main

Integração com Contêineres

Execute o vet em qualquer lugar usando nossa imagem de contêiner:

docker run --rm -v $(pwd):/app ghcr.io/safedep/vet:latest scan -D /app --malware-query

Instalação

Homebrew (Recomendado)

brew install safedep/tap/vet

npm

npm install @safedep/vet

Download Direto

Consulte releases para binários pré-compilados.

Instalação via Go

go install github.com/safedep/vet@latest

Imagem de Contêiner

# Quick test
docker run --rm ghcr.io/safedep/vet:latest version

# Scan local directory
docker run --rm -v $(pwd):/workspace ghcr.io/safedep/vet:latest scan -D /workspace

Verificação da Instalação

vet version
# Should display version and build information

Recursos Avançados

Saiba mais em nossa documentação abrangente:

Descoberta de Uso de IA - Descubra sinais de uso de ferramentas de IA em diversas ferramentas e configurações
Modo Agente de IA - Execute o vet como um agente de IA
Servidor MCP - Execute o vet como um servidor MCP para análise de código assistida por IA
Relatórios - Formatos SARIF, JSON, CSV, HTML, Markdown
Suporte a SBOM - Importação/exportação CycloneDX, SPDX
Modo de Consulta - Escaneie uma vez, analise várias vezes
Integração com GitHub - Varredura de repositórios e organizações
Fixação de GitHub Actions - Fixe GitHub Actions em SHAs de commit para prevenir ataques à cadeia de suprimentos

Privacidade

O vet coleta telemetria anônima de uso para melhorar o produto. Seu código e informações de pacotes nunca são transmitidos.

# Disable telemetry (optional)
export VET_DISABLE_TELEMETRY=true

Comunidade & Suporte

Junte-se à Comunidade

Obtenha Ajuda & Compartilhe Ideias

Tutorial Interativo - Aprenda vet na prática
Documentação Completa - Guias abrangentes
Comunidade no Discord - Suporte em tempo real
Rastreador de Issues - Relatórios de bugs e solicitações de recursos
Guia de Contribuição - Participe do desenvolvimento

Histórico de Estrelas

Construído com Código Aberto

o vet se apoia nos ombros de gigantes:

OSV • OpenSSF Scorecard • SLSA • OSV-SCALIBR • Syft

Contribuidores

Obrigado a todos os contribuidores ❤️

Proteja sua cadeia de suprimentos hoje mesmo. Dê uma estrela no repositório e comece agora!

Criado com amor por SafeDep e pela comunidade de código aberto

Ler mais