agent-bom compliance
AI合规与策略引擎，生成SBOM和合规报告
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom compliance。 它的用途是：AI合规与策略引擎，生成SBOM和合规报告 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-compliance-x-10/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'检查当前项目是否符合OWASP Top 10和EU AI Act要求，并生成SBOM报告'，它会自动扫描项目代码和依赖，对照两个框架逐项评估，输出包含风险等级、修复建议的合规报告，同时生成CycloneDX格式的SBOM文件。
介绍
这个Skill解决了开发者在项目交付前需要同时满足多个安全合规框架（如OWASP、NIST、SOC 2、ISO 27001、CMMC、EU AI Act、AISVS v1.0）的痛点。传统做法需要手动对照每个框架的检查项，耗时且容易遗漏，尤其当项目涉及AI组件时，EU AI Act等新兴法规的评估更是缺乏现成工具。
使用方式很简单，你只需要通过pip安装agent-bom包，然后对AI说“生成合规报告”或“检查NIST合规”等自然语言指令。它会自动扫描项目代码、依赖清单和配置文件，对照所选框架逐项评估，最终输出结构化的合规报告和SBOM（软件物料清单）。整个过程完全本地运行，无需任何外部凭证。
它非常适合需要频繁进行安全审计和合规检查的团队或个人，尤其是那些已经采用DevSecOps流程、希望将合规检查嵌入CI/CD管线的组织。对于涉及AI模型交付的项目，它内置的EU AI Act和AISVS v1.0评估能力是同类工具中少有的。
建议在每次发布前或代码合并到主分支时统一使用此工具。需要注意的是，它主要聚焦于代码和配置层面的合规检查，CIS基准检查（如AWS/Azure/GCP）需要额外配置云SDK凭证，且仅做只读API调用。对于物理安全或人员流程类的合规要求，仍需结合其他审计手段。
核心特点
与Trivy或Checkov等仅覆盖容器或基础设施的合规工具不同，agent-bom同时支持OWASP、NIST、SOC 2、ISO 27001、CMMC、EU AI Act、AISVS v1.0等十余个框架，且SBOM生成和大多数合规检查完全本地运行、零凭证依赖。
注意事项
需要Python 3.11+环境，CIS基准检查（AWS/Azure/GCP/Snowflake）需额外配置云SDK凭证，且仅支持只读API调用。
常见问题
使用这个Skill需要联网吗？
OWASP/NIST/EU AI Act等合规检查和SBOM生成完全本地运行，无需联网。CIS基准检查（可选）会调用云服务商只读API，需要网络连接。
支持哪些合规框架？
支持OWASP、NIST、SOC 2、ISO 27001、CMMC、EU AI Act、AISVS v1.0、MITRE等，并持续更新。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-compliance-x-10/raw/index.md 读取 agent-bom compliance 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-compliance-x-10/raw/index.md（查看排版版本）