核心用法
agent-bom-vulnerability-intel 是一款面向软件供应链安全的开源漏洞情报聚合工具，通过统一封装 agent-bom CLI 实现多源漏洞数据（OSV.dev、GitHub Security Advisories、NVD、EPSS、CISA KEV）的关联查询与风险量化。
典型工作流程：
| 场景 | 模式 | 命令示例 |
|------|------|---------|
| 单包快速排查 | `check-package` | `agent-bom check flask==2.0.0 --ecosystem pypi` |
| SBOM批量扫描 | `scan-local` | `agent-bom scan --inventory inventory.json --format json` |
| CI/CD 合规 gate | `export` | `agent-bom scan --format sarif --output findings.sarif` |
| 敏感环境离线评估 | `offline-review` | 使用本地缓存数据，需明确声明覆盖范围缩减 |
数据边界控制是核心设计：工具默认仅向公共咨询数据库发送「包标识符（名称、版本、生态、PURL）」和「CVE ID」，源代码、配置文件、密钥、完整扫描报告均不会外发。工具提供五级渐进模式，从纯解释（explain-only）到完全离线，允许操作者根据数据敏感度显式选择信任边界。
显著优点
- 多源权威聚合：原生整合五大漏洞情报源（OSV/GHSA/NVD/EPSS/CISA KEV），自动关联别名、去重并保留数据来源链，避免单点信息偏差
- 可操作性强：直接输出修复版本、EPSS 利用概率、KEV 在野利用状态、CWE 分类，支撑优先级排序
- SBOM 原生友好：支持 CycloneDX/SPDX 标准 SBOM 输入与 SARIF 标准输出，无缝嵌入 GitHub Advanced Security 等 DevSecOps 工具链
- 透明可控：详细的数据流声明、网络端点清单、可选凭据策略（NVD_API_KEY/GITHUB_TOKEN 仅用于提升速率限制，不强制要求）
- 离线能力：支持缓存优先模式，满足 air-gapped 或高敏感环境的合规需求
潜在局限与风险
| 局限类别 | 具体说明 |
|---------|---------|
| **数据源延迟** | OSV/GHSA/NVD 均存在同步延迟，零结果≠真正无漏洞；离线模式覆盖完全依赖本地数据库时效性 |
| **私包盲区** | 内部私有包、未公开生态的依赖无法通过公共咨询库解析，需配合私有漏洞源或手工审查 |
| **版本解析失败** | 复杂版本范围（如 Python 的 `~=`, `^`）或模糊匹配失败时，工具将其标记为「覆盖缺口」而非「安全」，可能产生漏报 |
| **EPSS 概率局限** | EPSS 仅提供统计学利用概率，非实际威胁情报，高 EPSS≠必然被利用，低 EPSS≠安全 |
| **无自动修复** | 工具仅输出情报与修复建议，不执行依赖升级，需用户显式触发修复工作流 |
适合人群
- 软件成分分析（SCA）团队：需标准化 SBOM 漏洞扫描与合规报告输出
- DevSecOps 工程师：寻求可嵌入 CI/CD pipeline 的轻量级开源扫描工具，替代部分商业 SCA 基础功能
- 红队/安全研究员：快速聚合 CVE 别名、EPSS、KEV 上下文，进行漏洞可利用性初筛
- 合规审计人员：需要可审计的数据边界控制与离线评估能力，满足数据驻留要求
常规风险
1. 敏感包名泄露：若直接对内部私有包名执行在线查询，可能向公共数据库暴露技术栈指纹；建议敏感场景强制使用 offline-review 模式
2. 误报修复版本：多源聚合时可能出现修复版本冲突或过时信息，需人工复核变更日志
3. 速率限制与可用性：无 API Key 时 NVD/GitHub 调用受限，大规模扫描可能触发限流导致结果不完整
4. 工具链信任：agent-bom 本身为社区维护项目（GitHub 单作者仓库），生产级部署建议代码审计与签名验证