agent-bom compliance
AI合规与策略引擎，评估扫描结果并生成SBOM
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom compliance。 它的用途是：AI合规与策略引擎，评估扫描结果并生成SBOM 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-compliance-x-11/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
“生成一份基于OWASP Top 10的代码扫描合规报告，并输出SBOM文件”，它会自动分析当前项目依赖和代码，对照OWASP规则生成报告，同时输出CycloneDX格式的SBOM。
介绍
这个Skill解决了在多框架合规要求下手动检查繁琐、易遗漏的问题。在实际开发中，团队需要同时满足OWASP、NIST、SOC 2、ISO 27001、CMMC、EU AI Act、AISVS v1.0等多种安全与隐私标准，逐一对照检查耗时且容易出错。
使用方式很简单，你只需要通过pip或pipx安装agent-bom，然后通过自然语言指令如“生成NIST合规报告”或“检查当前代码是否符合EU AI Act”即可自动执行评估。它支持完全本地运行，无需任何凭证即可完成OWASP/NIST/EU AI Act等检查，并生成SBOM（软件物料清单）和结构化合规报告。
它非常适合需要满足监管要求的开发团队、安全工程师和合规审计人员。尤其是那些已经将安全左移、希望在CI/CD流水线中自动嵌入合规检查的组织，可以大幅降低人工审核成本。
建议在每次代码合并前或发布前统一使用此工具进行合规快照。需要注意的是，CIS基准检查（AWS/Azure/GCP/Snowflake）需要额外配置云SDK凭证，且仅发起只读API调用，不会传输凭证到第三方。
核心特点
与Trivy等仅聚焦容器或依赖扫描的工具不同，agent-bom compliance同时覆盖OWASP、NIST、SOC 2、ISO 27001、CMMC、EU AI Act、AISVS v1.0等十余个框架，并原生支持SBOM生成，且大部分检查完全本地化，无需网络调用。
注意事项
需要Python 3.11+环境；CIS基准检查依赖云SDK凭证（AWS/Azure/GCP/Snowflake），且仅支持只读API调用。
常见问题
使用这个工具需要联网吗？
OWASP/NIST/EU AI Act等核心检查完全本地运行，无需联网；CIS基准检查需要调用云API，但仅在你主动发起时才会联网。
支持哪些合规框架？
支持OWASP、NIST、SOC 2、ISO 27001、CMMC、EU AI Act、AISVS v1.0等，并可以生成CycloneDX/SPDX格式的SBOM。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-compliance-x-11/raw/index.md 读取 agent-bom compliance 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-compliance-x-11/raw/index.md（查看排版版本）