supply-chain-security

AI 代理技能的安全掃描器。檢測 Claude Code、Codex、MCP 技能中的漏洞、惡意模式、安全風險、提示注入、資料外洩與供應鏈風險，讓您在安裝前先行了解。

只讀開發者端點掃描器，針對磁碟上的套件、擴充套件與開發工具元資料，檢查已知軟體供應鏈妥協的暴露風險

安全執行路徑給代理 - 零信任、零設置、零延遲

針對開發者與 AI agent 的終端機安全性。在同形異義 URL、管線送至 shell、ANSI 注入、混淆負載、資料外洩以及惡意 AI 技能/設定執行之前予以攔截。

軟體構件的供應鏈級別

透過在安裝前階段進行審核來安全安裝 npm 套件

GUAC 將軟體安全後設資料（metadata）聚合至高精確度的圖形資料庫中。

OWASP dep-scan 是一個基於已知漏洞、安全性公告與專案相依性授權限制的新一代安全與風險稽核工具。支援本機儲存庫與容器映像檔作為輸入，非常適合整合使用。

Harden-Runner 是一個 CI/CD 安全代理程式，運作方式類似 GitHub Actions runner 的 EDR。它能監控這些 runner 上的網路輸出、檔案完整性與處理程序活動，以即時偵測威脅。

npm 套件管理器的安全性最佳實踐集合

防範惡意開源套件 🤖

Tern 是一個軟體組成分析工具與 Python 函式庫，可為容器映像檔與 Dockerfile 產生軟體物料清單（SBOM）。Tern 產生的 SBOM 能以人類可讀、JSON、HTML、SPDX 等多種格式，提供容器內部的逐層檢視。

偵測並修復所有 GitHub 與 GitLab 資產中的錯誤配置與安全風險

專為代理時代打造的 CLI 安全性掃描器。可偵測 CI/CD 設定錯誤、代理權限風險、MCP 工具注入、硬式編碼密鑰，以及遭 DMCA 標記的 AI 相依套件。

針對 AI API 中繼與 LLM 代理的本機安全性稽核：偵測提示詞隱碼攻擊、模型替換、工具呼叫覆寫、SSE 異常、錯誤洩漏與 Web3 錢包風險。

Packj 透過標記軟體供應鏈中的惡意/漏洞開源相依性（「薄弱環節」），來阻止 :zap: Solarwinds、ESLint 與 PyTorch 類型的攻擊。

用於軟體供應鏈證明、SBOM、VEX、SARIF、QA 報告等的 SDLC 證據儲存與策略引擎。

Open-source antivirus for AI agents: block risky tools, secret access, prompt injection, malicious packages, MCP servers, plugins, and skills at runtime.

poutine，用於建置管線的供應鏈弱點掃描器。

PMG protects developers, AI agents from malicious open source packages using proxy, sandbox and SafeDep's threat intelligence feed.