自动化扫描之让风险提前暴露

原创

pippybear
pippybear

安全无界

2026年7月28日 09:30
上海
标题已修改

在小说阅读器读本章

去阅读

现在AI的使用覆盖率是越来越广，当然相应的风险可谓也是指数式上涨呀，不聊远的，就光供应链攻击都多出来不少，这不抽空写了一个脚本排查一下内部的repo是否包含风险组件和已投毒组件（如果使用的github，开启Dependabot alerts也能扫描风险组件哈，这里不多赘述）。

识别API选择

目前选择的是OSV，Google的，一直还在定期维护，整体结果还算全面和实时。

构造思路

主要思路其实是三块，拉取仓库、提取依赖组件、风险识别。如何拉取仓库这个就不过多赘述，主要集中在提取依赖组件和风险识别上。

依赖组件提取

这里使用的是开源组件Syft（Syft 是一个用来生成软件物料清单[SBOM]的工具，它可以帮你快速知道一个软件、容器镜像或文件系统里到底包含了哪些软件组件和依赖），直接分析提取指定仓库的依赖组件。

风险分析

简单写一个函数针对Syft提取的组件结果进行筛选解析，这个目的很简单，就是提取必要字段好直接用于OSV批量查询。

最后就是OSV查询了，API接口也很简单，组件生态+组件名字即可。

然后再根据OSV的扫描结果，美化一下输出，emmmm，我这里就这样简单输出了，能看得懂就行，完整代码就不同步了，其实也挺简单的，至于API如何使用，上面基本都有了。