技能介绍

依赖引入前的安全盲区

当 Agent 工作流、维护者脚本或 CI 流水线准备引入一个新的第三方依赖或导入外部技能仓库时，传统的安全审查往往滞后于实际集成动作。代码扫描器关注的是已落地的代码，而恶意软件和供应链攻击往往发生在依赖被拉取、解析、执行的第一时间窗口。一旦恶意包进入构建链或运行时环境，回滚和清理的成本远高于事前把关。

核心能力与工作方式

SafeDep Vet 将安全审查前置为一道门禁（gate）。当需要评估某个包或仓库时，它通过 SafeDep Vet CLI 对目标进行恶意软件与策略风险信号扫描，输出可供决策的风险判断。对于需要更深入分析的场景，可以接入 SafeDep Cloud 账户以获取进阶恶意软件分析能力。整个过程围绕一个目标：在代码真正进入工作流之前，给出「能不能用」的安全信号。

典型使用场景包括：

Agent 运行时准备加载新的技能仓库
CI 流水线在 pip install 或 npm install 之前对候选依赖做预检
维护者批量评估外部贡献者提交的依赖变更

适用边界与注意点

SafeDep Vet 的定位是采用前的预检环节，而非完整的安全审计方案。它输出的是风险信号，最终是否放行仍需要结合项目的实际威胁模型做判断。此外，上游仓库的安装与使用说明未能被自动提取，在将其纳入敏感工作流之前，应当先审查上游项目本身。SafeDep Vet CLI 和仓库/清单的访问权限是运行前提；是否需要 SafeDep Cloud 账户取决于你所需的分析深度。