supply-chain-security

AI 代理技能的安全扫描器。检测 Claude Code、Codex、MCP 技能中的漏洞、恶意模式、安全风险、提示注入、数据外泄与供应链风险，让您在安装前先行了解。

只读开发者端点扫描器，针对磁盘上的包、扩展与开发工具元数据，检查已知软件供应链妥协的暴露风险

安全执行路径给代理 - 零信任、零设置、零延迟

针对开发者与 AI agent 的终端机安全性。在同形异义 URL、管线送至 shell、ANSI 注入、混淆负载、数据外泄以及恶意 AI 技能/配置执行之前予以拦截。

软件制品的供应链级别

通过在安装前阶段进行审核来安全安装 npm 包

GUAC 将软件安全元数据（metadata）聚合至高精度的图形数据库中。

OWASP dep-scan 是一个基于已知漏洞、安全公告与项目依赖项许可限制的新一代安全与风险审计工具。支持本地仓库与容器镜像作为输入，非常适合集成使用。

Harden-Runner 是一个 CI/CD 安全代理，运行方式类似于 GitHub Actions runner 的 EDR。它能监控这些 runner 上的网络出口、文件完整性与进程活动，以实时检测威胁。

npm 包管理器的安全性最佳实践集合

防范恶意开源软件包 🤖

Tern 是一个软件组成分析工具与 Python 库，可为容器镜像与 Dockerfile 生成软件物料清单（SBOM）。Tern 生成的 SBOM 能以人类可读、JSON、HTML、SPDX 等多种格式，提供容器内部的逐层检视。

检测并修复所有 GitHub 与 GitLab 资产中的错误配置与安全风险

专为代理时代打造的 CLI 安全性扫描器。可检测 CI/CD 配置错误、代理权限风险、MCP 工具注入、硬编码密钥，以及遭 DMCA 标记的 AI 依赖项。

针对 AI API 中继与 LLM 代理的本地安全性审计：检测提示詞注入、模型替换、工具调用重写、SSE 异常、错误泄露与 Web3 钱包风险。

Packj 通过标记软件供应链中的恶意/漏洞开源依赖项（“薄弱环节”），来阻止 :zap: Solarwinds、ESLint 与 PyTorch 类型的攻击。

用于软件供应链证明、SBOM、VEX、SARIF、QA 报告等的 SDLC 证据存储与策略引擎。

Open-source antivirus for AI agents: block risky tools, secret access, prompt injection, malicious packages, MCP servers, plugins, and skills at runtime.

PMG protects developers, AI agents from malicious open source packages using proxy, sandbox and SafeDep's threat intelligence feed.

poutine，用于构建流水线的供应链漏洞扫描器。