sca-guardian
产品介绍
1. 汽车与军工出海合规审查专家 (CRA/R155/4495) 核心痛点：企业在出海过程中，面对欧盟《网络弹性法案》(CRA)、联合国 R155 以及各类军工/航天出口管制（如 4495 规范），往往难以快速梳理合规差距。 Skill 能力设计： 法规映射与差距分析：输入企业的现有安全体系或产品架构，Skill 自动对照 CRA、R155 或 4495 的条款，输出合规差距分析报告。 出海合规路径规划：根据目标市场和产品类型，自动生成包含 SBOM 管理、漏洞响应机制、适航认证前置条件的合规路线图。 自研率与供应链溯源分析：结合 SCA 工具的输出结果，自动评估开源组件风险，计算核心代码自研率，并生成符合适航或军工审查标准的供应链安全报告。 2. 智能网联汽车代码安全与适航认证专家 核心痛点：汽车软件（尤其是涉及功能安全的代码）在 SAST 扫描后，误报率高，且难以直接与适航认证（如 DO-178C 等衍生标准）的安全目标对齐。 Skill 能力设计： SAST 结果智能审计：内置代码审计最佳实践，自动过滤 SAST 工具产生的误报，聚焦于真正影响行车安全和适航标准的高危漏洞。 适航合规证据链生成：将代码审计结果、SCA 依赖树与适航认证要求自动关联，生成可用于审查的合规证据包。 修复建议与代码重构：不仅指出问题，还能根据汽车软件编码规范（如 MISRA C/C++）提供符合适航要求的代码修复建议。 3. 大模型与 IT 智造安全架构咨询专家 核心痛点：IT 智造企业在引入大模型工具时，面临代码泄露、供应链投毒以及模型输出合规等新型安全风险。 Skill 能力设计： 大模型工具安全评估：评估企业自研或引入的大模型工具在代码生成、审计等环节的安全性，提供防数据泄露和防提示词注入的安全架构建议。 AI 辅助代码合规审查：结合 SAST 和大模型能力，对 AI 生成的代码进行二次合规性审查，确保其符合企业的安全基线和开源协议要求。 智造场景安全基线生成：针对 IT 智造企业的研发流程，自动生成包含 SCA、SAST、大模型使用规范的 DevSecOps 安全基线。 4. 软件供应链安全 (SCA) 战略与治理专家 核心痛点：企业虽然部署了 SCA 工具，但缺乏体系化的治理策略，导致“只扫不管”或修复成本过高。 Skill 能力设计： SCA 策略优化：根据企业的行业属性（汽车、军工等），自动推荐开源组件准入白名单、许可证风险阈值和漏洞修复 SLA。 SBOM 深度解析与合规：解析 CycloneDX/SPDX 格式的 SBOM，自动生成面向监管机构的供应链透明度报告。 开源风险量化评估：结合漏洞情报和组件活跃度，为企业的开源组件库进行健康度和风险评分。
资源信息
许可证信息摘自官方源，可能过时或缺失。商用前请以原仓库的 LICENSE 文件为准。
信息边界说明
本页信息摘自官方文档，仅作技术信息呈现，不代表本站的判断或推荐。价格、配额、可用性以官方最新说明为准。你离开本站后的任何行为（申请 Key、付费、部署、商用），本站不做任何承诺与担保。
同类推荐
全国电子印章互认平台
官方未说明需申请 Key电子印章公安备案、全网互认，实现所有格式文件电子签章与视频确权，覆盖全国所有CA厂商自2005年以来的全量电子签章数据，无论由哪个地区、哪套系统、哪家CA机构签发，均可精准校验与互认。
Amass · 攻击面测绘
官方标注免费OWASP 出品的网络攻击面测绘框架：被动聚合外部 API 与公开数据库 + 主动 DNS 爆破与递归扩展，图谱化呈现资产关系，定位组织全部可达边界与隐藏/被遗忘的子域名。适合大规模侦察与完整攻击面盘点。
Subfinder · 被动子域名枚举
官方标注免费快速被动子域名枚举工具：通过证书透明度日志、搜索引擎、DNS 数据集等被动源发现目标子域名，不直接向目标发流量，快速且隐蔽。内置通配符消除、按源限速、JSONL 输出，是 bug bounty 侦察管道的标准第一环（subfinder → httpx → nuclei）。
钟馗.skill
需申请 Key钟馗.Skill——会更新漏洞库的安全审查专家。直来直去、快刀斩乱麻，三层审查（静态审计/行为模拟/供应链溯源）覆盖12类风险，输出结构化安全裁定（✅干净/⚠️可疑/🚫恶意）。Use when 用户说"审查这个Skill"、"安全检查"、"钟馗看下"、"审一下"、"查一下这个skill"、安装Skill前的安全评估、或需要审计SKILL.md的恶意载荷。
HTTPX · 存活探测与指纹
官方标注免费快速多用途 HTTP 探测工具：对子域名列表批量探测存活、状态码、页面标题、技术栈指纹（-tech-detect）、重定向链。是 subfinder 之后、nuclei 之前的标准一环——先知道哪些活着、跑着什么，再决定扫什么。
Waybackurls · 历史URL挖掘
官方标注免费从 Internet Archive Wayback Machine 提取目标域名的全部历史 URL。老 API 路径、已下线页面、带参数的历史端点常常还活着但没人管——正是赏金猎人说的「钱在无聊的输出里」。纯被动，不碰目标。
什么是技能
技能（Skill）是封装好的单项能力，比如文字识别、文档摘要、关键词提取。开发者把调用逻辑和提示词打包，使用者像用插件一样加载即可，无需了解底层模型。启枢技能 收录大量技能，可直接试跑或编入方案。