agent-bom scan
AI代理基础设施安全扫描器，检测CVE与风险
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom scan。 它的用途是：AI代理基础设施安全扫描器，检测CVE与风险 完整的 Skill 内容见：https://321skill.com/skills/agent-bom-scan-x-4/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
'扫描当前项目的package.json依赖，找出所有高危CVE并评估爆炸半径'，它会自动调用agent-bom scan分析依赖树，返回每个漏洞的CVE编号、EPSS评分、是否有KEV利用，以及受影响的核心包链路。
对AI说：'检查这个Docker镜像 docker.io/alpine:3.19 是否有已知漏洞'，它会拉取镜像的SBOM并对比NVD数据库，输出漏洞列表和修复建议。
介绍
这个工具解决的是AI代理基础设施中日益突出的安全风险问题。随着MCP（模型上下文协议）、智能体、容器镜像和依赖包成为主流开发范式，传统安全扫描工具往往无法覆盖这些新型组件。Agent BOM Scan能扫描包、容器镜像、文件系统、SBOM（软件物料清单），并集成OSV、NVD、EPSS、KEV等多源漏洞数据库，同时提供blast radius（爆炸半径）分析，帮助你评估一个漏洞可能影响的范围和信任等级。
使用非常简单：你只需在命令行中执行类似agent-bom scan package.json或agent-bom scan image alpine:latest的命令，工具会自动解析依赖、拉取漏洞数据并生成报告。你也可以通过自然语言指示AI调用该工具，例如“检查这个Docker镜像是否安全”或“扫描项目的依赖漏洞”。输出包含CVE编号、严重程度、EPSS利用概率、是否有已知利用（KEV）以及受影响的资产链路。
适合运维工程师、后端开发者和智能体开发者。运维工程师可以用它来持续监控容器和基础设施的安全性；后端开发者可以在CI/CD流水线中集成，防止有漏洞的依赖进入生产环境；智能体开发者则可以利用其MCP安全检测能力，确保代理通信的风险可控。
建议在开发阶段就定期扫描，而非等到上线前才做一次。注意该工具聚焦已知漏洞和依赖风险，不适合深度代码审计或自定义规则检测。扫描结果中的blast radius分析需要结合你自己的架构图来理解实际影响范围，工具只提供理论链路。
核心特点
专注于agentic基础设施和MCP生态，集成OSV、NVD、EPSS、KEV等多源漏洞数据，内置blast radius分析，而传统安全扫描工具只关注代码或容器，缺乏对智能体通信链路和信任链的评估。
注意事项
不适合需要深度代码审计或自定义规则扫描的场景，主要聚焦已知漏洞和依赖风险，对零日漏洞缺乏检测能力。
常见问题
能扫描哪些类型的包？
支持npm、pip、maven、go modules等常见包管理器的依赖，以及容器镜像（Docker/OCI）和文件系统目录。
支持容器镜像扫描吗？
支持，可以直接扫描镜像的层和SBOM，识别其中的CVE，并评估镜像中每个组件的信任等级。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/agent-bom-scan-x-4/raw/index.md 读取 agent-bom scan 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/agent-bom-scan-x-4/raw/index.md（查看排版版本）