agent-bom compliance
AI驱动的合规与政策引擎，支持多框架评估并生成SBOM和报告。
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom compliance。 它的用途是：AI驱动的合规与政策引擎，支持多框架评估并生成SBOM和报告。 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-compliance/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
‘请根据最新的代码扫描结果，评估我们的项目是否符合SOC 2 Type II和ISO 27001的控制要求，并生成一份差距分析报告和SBOM。’ 它会自动解析扫描数据，对照相关框架的数百条控制项进行匹配和评估，最终生成一份详细列出合规项、不合规项及改进建议的报告，以及一份包含所有依赖组件及其许可证信息的SBOM文档。
介绍
该Skill是一个AI合规与政策引擎，旨在解决企业在软件开发和部署过程中面临的复杂合规性挑战。它能够自动化评估代码扫描结果，确保项目符合包括OWASP、NIST、SOC 2、ISO 27001、CMMC、欧盟AI法案、AISVS v1.0在内的多种国际安全与合规框架，并生成软件物料清单（SBOM）和详细的合规报告，从而显著降低人工审计成本和合规风险。
使用时，用户只需提供相关的扫描结果或项目数据，通过简单的自然语言指令（如“生成一份NIST合规报告”或“检查我们的代码是否符合欧盟AI法案”）即可触发引擎工作。该Skill会分析输入，对照预设的框架要求，自动识别差距、生成评估结果，并输出结构化的报告和SBOM文档。
它非常适合需要应对严格合规审计的软件开发团队、安全工程师、合规官以及项目经理。无论是为政府项目、金融科技、医疗健康还是其他受监管行业开发软件，该Skill都能提供关键的自动化合规支持。
使用建议是，在项目开发早期和关键里程碑（如发布前）集成此Skill进行合规检查，以尽早发现并修复问题。注意事项包括：它主要基于输入的数据进行评估，因此扫描结果的完整性和准确性直接影响报告质量；同时，对于法规的解读和应用，建议最终由法务或合规专家进行复核，以确保完全符合特定司法管辖区的具体要求。
核心特点
与单一框架检查工具不同，它集成了从传统安全（OWASP、NIST）到新兴AI伦理（欧盟AI法案、AISVS）的广泛合规标准于一体，并能同时生成SBOM和跨框架的综合合规报告，实现了“一次扫描，多标对齐”。
注意事项
不适合用于评估非代码资产（如物理安全措施、人员管理流程）的合规性，或对法规进行超出其知识库范围的法律解释。
常见问题
这个Skill能生成哪些类型的合规报告？
可以生成针对OWASP Top 10、NIST CSF、SOC 2、ISO 27001、CMMC、欧盟AI法案、AISVS v1.0等框架的独立或综合合规报告，以及软件物料清单（SBOM）。
使用前需要准备什么数据？
需要提供代码扫描结果（如SAST、DAST工具的输出）、依赖清单或项目配置文件，以便引擎进行准确评估。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-compliance/raw/index.md 读取 agent-bom compliance 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-compliance/raw/index.md（查看排版版本）