技能介绍

依赖投毒与老旧组件带来的隐性风险

现代软件交付高度依赖开源生态，一个底层组件的漏洞或投毒就可能顺着依赖树波及成千上万个项目。团队往往只关注自己写的代码，却忽视了 dependencies.lock 里那些多年未更新、来源不明或已被披露高危漏洞的第三方包。当安全事件发生时，排查整个 GitHub 组织下的所有仓库更像是在盲人摸象，缺乏统一的视角和量化标准。

工作原理与核心能力

Heisenberg 通过整合 deps.dev 的项目数据、软件物料清单（SBOM）以及外部安全公告，为供应链提供量化的健康评估。其核心工作流分为三步：

数据收集与分析：自动扫描目标仓库或组织，提取依赖清单，并与公开的威胁情报和项目元数据进行交叉比对。
风险评估与打分：为每个包生成健康评分，精准识别存在已知漏洞、废弃维护或可疑来源的高风险组件。
报告导出：将分析结果聚合，输出标准化的 CSV 报告，支持从单个项目到整个组织级别的依赖全景审计。

适用边界与注意事项

该工具适合作为 CI/CD 流程中的安全门禁或定期的供应链安全巡检手段，但它不能替代专业的漏洞修复工作。输出的健康评分基于公开数据，可能存在延迟，对于内部私有源或未公开的零日漏洞缺乏感知能力。此外，分析 GitHub 组织级别的组合需要配置有效的 GITHUB_TOKEN，并确保运行环境满足 Python 3.11 的要求，在资源受限的大型 monorepo 中可能需要合理配置扫描范围。