agent-bom scan
开源Agent基础设施安全扫描器
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom scan。 它的用途是：开源Agent基础设施安全扫描器 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-scan-x-10/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'扫描当前项目的依赖漏洞，并输出CVE列表和修复建议'，它会自动分析项目中的requirements.txt、package.json等依赖文件，查询OSV、NVD等数据库，返回每个依赖的漏洞编号、严重等级、EPSS评分以及建议升级版本，同时检查容器镜像和SBOM文件中的安全风险。
介绍
这个Skill解决了Agentic基础设施安全扫描的痛点。在实际开发中，AI Agent、MCP服务器、依赖包、容器镜像等组件日益增多，开发者难以全面检查每个组件的CVE漏洞、信任等级和爆炸半径，传统工具又不支持Agent特有的配置扫描。
使用方式很简单，你只需要安装agent-bom，然后通过自然语言指令如“扫描这个项目的依赖漏洞”或“检查容器镜像安全”即可。它会自动遍历项目依赖、容器镜像、文件系统、SBOM清单，并查询OSV、NVD、EPSS、KEV等数据库，最终生成包含风险等级、修复建议的聚合报告。
它非常适合需要保障Agent和AI应用安全的开发团队、运维工程师以及安全审计人员。尤其是那些已经使用MCP、Cursor、Claude等Agent工具，希望在上线前自动排查安全风险的团队，可以显著降低人工审查成本。
建议在CI/CD流程中集成此工具，或者作为日常开发中的安全检查环节。需要注意的是，它主要依赖公共漏洞数据库，内网环境需配置代理或离线数据源；扫描大型项目时可能耗时较长，建议按需扫描而非全量扫描。
核心特点
与Trivy不同，agent-bom专门针对Agentic基础设施，支持扫描MCP服务器的配置文件、Agent的blast radius以及运行时信任链，而Trivy更侧重传统容器和操作系统层漏洞。
注意事项
需要Python 3.11+环境，扫描大型项目或容器镜像时依赖网络请求公共漏洞数据库，离线场景需提前同步数据。
常见问题
是否需要API密钥才能使用？
不需要，基础操作零凭据；仅当需要提高API速率限制时可选配置环境变量，但不会自动发现或传输凭据。
支持哪些类型的扫描？
支持包依赖（PyPI、npm等）、容器镜像、SBOM、文件系统、MCP配置文件、Agent运行时信任扫描，以及爆炸半径分析。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-scan-x-10/raw/index.md 读取 agent-bom scan 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-scan-x-10/raw/index.md（查看排版版本）