使用 AI 审计项目依赖项以识别供应链安全风险

解决依赖库“信任危机”：通过 AI 自动分析项目依赖的维护者构成、更新频率、社区活跃度等维度，快速筛选出容易被接管或被攻击的高风险依赖项。

为什么需要这个技能

现代软件开发极度依赖第三方库，但这种便利带来了巨大的供应链风险。如果一个核心依赖仅由一名匿名开发者维护，或者长期无人更新，那么该库极易成为攻击者的目标——通过社工接管账号或利用未修复漏洞，攻击者可以将恶意代码注入到数以万计的下游项目中（如著名的 left-pad 事件）。

单纯的漏洞扫描（如 npm audit）只能发现已知的 CVE，而本技能旨在通过“风险画像”在漏洞出现前，识别出那些结构性脆弱的依赖项。

初始化审计环境：创建 .supply-chain-risk-auditor 工作区，并基于模板准备 results.md 报告。
依赖仓库定位：扫描项目配置文件，获取所有直接依赖项的 Git 仓库 URL。
多维度风险评估：利用 gh 工具查询实时数据，根据以下标准判定风险：
- 维护者单一：是否仅由个体维护且无组织背书。
- 维护停滞：是否存在长期未更新或明确的弃用声明。
- 流行度低：Star 数或下载量是否远低于同类替代品。
- 高危特性：是否涉及 FFI、反序列化或执行第三方代码等高危功能。
- 缺乏安全联系方式：是否缺失 SECURITY.md 等漏洞报告渠道。
生成风险报告：仅记录符合风险特征的依赖，并在报告中提供更流行、更健康的替代方案建议。

解压后将目录放入你的 AI 工具 skills 文件夹，重启工具后即可使用。具体路径参考内附的 USAGE.zh.md。

暂无推荐