agent-bom compliance
AI合规与策略引擎，生成SBOM和合规报告
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom compliance。 它的用途是：AI合规与策略引擎，生成SBOM和合规报告 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-compliance/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'生成一份符合OWASP Top 10和SOC 2的合规报告，并输出SBOM文件'，它会自动扫描当前项目目录的依赖和配置，对照两个框架生成详细的合规检查结果，同时导出CycloneDX格式的SBOM，整个过程无需联网，几分钟内即可得到可交付的报告。
介绍
这个Skill解决了开发团队在软件交付前难以系统化进行多框架合规审计的痛点。在实际开发中，安全与合规团队需要同时对照OWASP、NIST、SOC 2、ISO 27001、CMMC、EU AI Act、AISVS v1.0等多个标准逐一检查代码和依赖，人工操作耗时且容易遗漏。agent-bom compliance将这一过程自动化，只需一次扫描即可生成覆盖所有主流框架的合规报告，并同步输出SBOM（软件物料清单），让合规审计从周级缩短到分钟级。
使用方式很简单，你只需要在终端中运行agent-bom命令，并指定要评估的扫描结果文件或项目目录。之后就可以通过自然语言指令来触发特定框架的检查，例如“检查OWASP Top 10合规性”或“生成NIST 800-53报告”。工具会本地执行评估，无需上传数据到云端，所有OWASP/NIST/EU AI Act/MITRE评估和SBOM生成完全离线完成。对于CIS基准检查，可选的云凭证（AWS/Azure/GCP/Snowflake）仅在用户明确要求时用于只读API调用。
它非常适合需要满足多重合规要求的团队或个人，尤其是那些已经采用DevSecOps流程但缺乏自动化合规工具的组织。运维工程师可以在CI/CD流水线中集成此工具，每次构建后自动生成合规快照；安全审计人员可以快速对比不同版本间的合规差异；项目经理也能通过报告直观了解项目当前的安全合规状态，提前识别风险。
建议在每次代码发布前统一使用此工具进行合规预检，避免上线后因合规问题返工。需要注意的是，它主要聚焦于软件成分分析和策略引擎，不替代专业的渗透测试或人工审计。CIS基准检查需要用户自行配置云平台凭证，且仅支持只读操作，不会修改任何云资源。对于EU AI Act等新兴法规，建议结合官方解读文档使用。
常见问题
这个工具需要联网吗？
OWASP/NIST/EU AI Act/MITRE评估和SBOM生成完全本地执行，无需联网。CIS基准检查仅在用户主动要求时调用云平台API。数据不会传输到第三方。
支持哪些合规框架？
支持OWASP、NIST、SOC 2、ISO 27001、CMMC、EU AI Act、AISVS v1.0等主流框架，并持续更新。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-compliance/raw/index.md 读取 agent-bom compliance 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-compliance/raw/index.md（查看排版版本）