包含的功能

漏洞、配置错误和密钥扫描

代码和 IaC

使用 Trivy、带有 Bob 规则的 Opengrep 和 KICS 检测代码及 infrastructure as code 文件中的漏洞和配置错误。

密钥

在暴露的密钥、令牌和凭据进入版本控制之前将其识别出来。

供应链风险分析与修复

风险分析

在每次打开和保存文件时，扫描依赖项清单中的已知 CVE、包的流行度信号和发布时长。在代理任务中，风险包也会在安装时被拦截。

修复工作流

通过每一步的自动化测试套件验证，修复整个项目中的依赖项漏洞。

SafeWrite

在内存中拦截 AI 代理的文件写入，并在存在漏洞的依赖项声明进入代码库之前自动修补它们。

AI 驱动的安全扫描

运行攻击面扫描或文件扫描，使用 AI 推理而非固定规则来发现漏洞。

IaC 自动化技能

由扩展注册的 Bob 原生技能，为 Ansible 和 Terraform 提供深入的、有指导的 infrastructure as code 专业知识。

Fix with Bob

直接从发现结果启动代理任务，让 Bob 在同一 IDE 窗口中分析并解决问题。

安全仪表板

查看按项目和分支组织的历史扫描结果，跟踪趋势，并忽略过往运行中的发现结果。

工作原理

基于规则的扫描在你编写和编辑代码时持续运行。发现结果会立即出现在 Bob Findings 面板中，显示严重程度、文件、行号、规则 ID 以及可用的修复指导。你可以选择任意发现结果并启动代理修复，无需离开当前上下文。

对于更深入的分析，该包包含 AI 驱动的扫描工作流，这些工作流会推断你项目的架构和数据流，以发现基于规则的扫描器遗漏的漏洞。

开始使用

查看前提条件

在激活包之前，确保你的环境满足所有要求。

有关详细信息，请参阅前提条件。

查看发现结果

打开 Bob Findings 面板，查看工作区的活动扫描结果。

有关详细信息，请参阅查看发现结果。

修复发现结果

选择任意发现结果并点击 Fix with Bob，启动分析并解决问题的代理任务。

有关详细信息，请参阅修复发现结果。

运行工作流或技能

使用 Fix Supply Chain Vulnerabilities 工作流修复项目中的依赖项漏洞，或运行 AI 驱动的安全扫描。

有关详细信息，请参阅工作流和技能。

概述