agent-bom vulnerability intel
使用 agent-bom 检查软件包、SBOM和依赖的漏洞暴露情况。
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：agent-bom vulnerability intel。 它的用途是：使用 agent-bom 检查软件包、SBOM和依赖的漏洞暴露情况。 详细介绍见：https://321skill.com/skills/agent-bom-vulnerability-intel-x-4/ 请根据该页面的说明完成安装。
使用示例
‘请使用 agent-bom 检查我当前Node.js项目的package.json，列出所有存在已知高危CVE的依赖，并给出修复建议。’ 它会解析你的依赖树，连接多个漏洞数据库进行比对，最终生成一份包含漏洞ID、严重等级、影响版本、修复版本以及是否被主动利用的详细报告，帮助你快速定位和修复风险。
介绍
agent-bom 是一个专注于软件供应链安全的智能体技能，它解决了开发者和安全工程师在管理项目依赖时面临的漏洞情报获取难题。面对海量的开源组件和不断涌现的安全漏洞，手动跟踪CVE、GHSA等安全公告不仅效率低下，而且容易遗漏高风险威胁。该技能旨在自动化这一过程，帮助用户快速识别和评估依赖项中的安全风险。
使用时，用户只需提供软件包名称、SBOM文件或依赖清单，agent-bom 便能自动连接 OSV、GitHub Security Advisories、NVD、EPSS 和 CISA KEV 等多个权威漏洞数据库进行交叉比对。它不仅能列出已知漏洞，还能提供漏洞的严重性评分、可利用性上下文（如EPSS）、修复版本以及是否被列入CISA已知被利用漏洞目录等关键情报，极大地简化了漏洞排查和修复优先级判断的流程。
该技能特别适合需要处理复杂依赖关系的后端开发、全栈开发、运维工程师以及负责代码安全和合规审查的测试工程师。对于在CI/CD流程中集成安全扫描，或需要为项目生成安全审计报告的场景尤为有用。
建议在项目开发早期和每次依赖更新后定期使用此技能进行扫描。由于它支持明确的数据边界选择，对于有数据合规要求的企业环境也能适用。但请注意，其分析结果依赖于外部数据库的更新速度和准确性，对于极新的或未公开的漏洞可能存在滞后。
核心特点
核心区别在于其明确的数据边界选择能力，允许用户根据合规要求指定数据查询的物理或逻辑边界；同时，它一站式聚合了OSV、GHSA、NVD、EPSS和CISA KEV五大关键数据源，不仅提供漏洞信息，还集成了漏洞可利用性概率（EPSS）和已知被利用状态（KEV）等实战化风险上下文。
注意事项
不适合扫描非开源、私有或定制化组件的漏洞，也无法检测逻辑漏洞或设计缺陷。
常见问题
agent-bom 能扫描容器的漏洞吗？
可以，通过分析容器镜像的SBOM或软件包清单进行扫描。
它支持哪些编程语言的包管理器？
支持主流语言如 npm、pip、Maven、Go modules 等生成的依赖清单或SBOM。