核心用法
agent-bom-vulnerability-intel 是一个专注于软件供应链安全的漏洞情报聚合技能，通过 agent-bom CLI 工具实现对开源依赖的系统性安全评估。
主要工作模式：
- `explain-only`：无网络调用，仅解释查询边界，适用于敏感环境预评估
- `check-package`：单包快速检测，如
agent-bom check flask==2.0.0 --ecosystem pypi - `scan-local`：扫描本地 agent 配置或清单文件，提取包标识符后查询公开漏洞库
- `offline-review`：纯离线模式，依赖本地缓存数据，明确告知覆盖范围受限
- `export`：生成 SARIF/JSON 报告，支持 PR 门禁与审计追溯
数据边界设计： 仅向 OSV、GitHub Advisories、NVD、EPSS、CISA KEV 发送包名、版本、生态/PURL 及 CVE ID；源代码、配置文件、密钥、完整扫描报告均不离开本地环境。
显著优点
1. 多源情报融合：原生整合 5 大权威漏洞数据源，自动关联 CVE/GHSA/PYSEC 别名，避免单一源盲区
2. 决策辅助信息丰富：除 CVSS 外，叠加 EPSS 利用概率、CISA KEV 已知利用状态、CWE 分类、修复版本建议
3. 灵活的数据边界控制：显式区分在线查询与离线审查模式，满足企业合规与隐私场景
4. 标准化输出：支持 JSON 审计追踪与 SARIF PR 门禁集成，适配 DevSecOps 流水线
5. 零硬编码凭证：基础功能无需 API Key，可选 NVD/GITHUB_TOKEN 仅用于提升速率限制
潜在局限
- Python 3.11+ 依赖：旧环境需升级运行时
- 公开包优先：私有/内部包名在在线模式下会外泄，需切换 offline-review
- 版本解析依赖：未解析或未知版本视为覆盖缺口，可能产生假阴性
- EPSS/NVD 延迟：部分数据源更新存在天然时滞，紧急 0day 场景需补充人工核实
适合人群
- 需要快速 triage 依赖漏洞的开发与运维工程师
- 构建 SBOM 安全基线的供应链安全团队
- 需在 CI/CD 中集成漏洞门禁的 DevSecOps 实践者
- 处理敏感代码库、需严格数据出境管控的合规安全官
常规风险
| 风险项 | 说明 |
|--------|------|
| 标识符外泄 | 在线模式发送包名/版本，敏感内部项目请用 offline-review |
| 凭证误操作 | 工具设计为"不询问、不显示"Token，但 operator 仍需避免手动粘贴 |
| 覆盖率缺口 | 离线模式依赖本地缓存，可能遗漏最新披露漏洞 |
| 解析失败 | 复杂依赖锁定文件可能解析不完整，需人工复核 |