技能 sbom-syft

📦

sbom-syft

Name: sbom-syft
Author: AgentSecOps

v0.1.0 内容修订 r2 严重 ⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量⚡ 包含脚本

使用 Syft 生成 SBOM

团队需要准确的 SBOM 来跟踪依赖项、漏洞和许可证。此技能指导面向容器、文件系统、CI 管道和签名证明的 Syft 工作流。

支持: Claude Codex Code(CC)

⚠️ 38 差

请勿自动安装此 Skill。

权威策略要求在执行任何安装操作前由操作人员审查。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "sbom-syft" from https://skillstore.io/skills/agentsecops-sbom-syft.md and its manifest at https://skillstore.io/api/skills/agentsecops-sbom-syft/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/agentsecops-sbom-syft.md 已签名 manifest GET /api/skills/agentsecops-sbom-syft/manifest 已签名 lockfile GET /api/skills/agentsecops-sbom-syft/lockfile

测试它

正在使用“sbom-syft”。为生产容器镜像生成 SBOM。

预期结果:

一个简洁的 Syft 工作流，包含目标确认、输出格式选择、存储建议和验证检查。

正在使用“sbom-syft”。比较两个应用程序发布版本的 SBOM。

预期结果:

一份依赖项变更摘要，涵盖新增软件包、移除软件包、版本变更和审查优先级。

正在使用“sbom-syft”。为 CI/CD 规划 SBOM 生成。

预期结果:

一个管道大纲，包含扫描器设置、制品保留、漏洞门禁和签名步骤。

安全审计

严重

v9 • 2026/7/23 打开版本化报告

Most detections are false positives caused by Markdown formatting, defensive examples, or fixed local operations. The template still includes a critical pipe-to-shell installer and instructions that download mutable artifacts without integrity verification. It also exposes a GitHub token to an unpinned action and contains CI controls that can fail open.

已扫描文件

2,022

分析行数

复核项

已忽略误报

已确认安全问题 (4)

严重

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The workflow pipes an unauthenticated, unpinned remote script directly into bash. Upstream compromise or content replacement would produce immediate code execution in CI.

高

assets/ci-config-template.yml:197 SKILL.md:43 SKILL.md:307 SKILL.md:323

Mutable Third-Party Execution References

CI examples use mutable action branches, major tags, and latest container tags, allowing upstream changes to execute without repository review.

The cited examples directly select master, latest, or mutable version tags for code that executes during builds.

高

assets/ci-config-template.yml:61 assets/ci-config-template.yml:123 assets/ci-config-template.yml:128 assets/ci-config-template.yml:235

Fail-Open CI Security Gates

Several scanner commands suppress failures with || true, while later steps only warn, so vulnerable or incomplete builds can continue.

The template explicitly neutralizes multiple scanner exit codes, and some result processing does not enforce the documented severity threshold.

中

SKILL.md:195-202 SKILL.md:241-242

Plaintext Registry Credential Guidance

Guidance places registry usernames and passwords in .syft.yaml, increasing accidental commit and local disclosure risk.

The configuration example includes credential fields, and later text recommends adding credentials to that file.

能力复核项 (3)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The URL supplies an installation script from a mutable upstream branch. No version pin or integrity check protects the downloaded executable content.

高

assets/ci-config-template.yml:164

Git platform tokens

GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

The workflow passes GITHUB_TOKEN to a third-party action referenced by a mutable major tag. A compromised action revision could misuse the token's workflow permissions.

中

SKILL.md:136

Hardcoded URL

wget https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64

The instruction downloads the latest cosign binary without pinning a release or verifying a checksum or signature. Users are then told to execute that artifact.

风险因素

⚙️ 外部命令 (50)

🌐 网络访问 (24)

📁 文件系统访问 (4)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 SKILL.md:193 SKILL.md:437

🔑 环境变量 (23)

⚡ 包含脚本 (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

检测到的模式

Pipe to shell pattern

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/agentsecops-sbom-syft/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-sbom-syft/security.svg)](https://skillstore.io/skills/agentsecops-sbom-syft?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/agentsecops-sbom-syft?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sbom-syft/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/agentsecops-sbom-syft.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

AgentSecOps. (2026). sbom-syft security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sbom-syft/audits/9

BibTeX 引用

@techreport{agentsecops-agentsecops-sbom-syft-2026,
  author = {AgentSecOps},
  title = {sbom-syft security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-sbom-syft/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sbom-syft security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-sbom-syft/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-sbom-syft:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

100

可维护性

内容

社区

规范符合性

你能构建什么

盘点容器依赖项

在部署前为发布镜像生成 CycloneDX 或 SPDX SBOM。

将 SBOM 添加到发布中

将 SBOM 制品和证明附加到构建输出，以用于来源记录。

审查依赖项许可证

使用 Syft 输出识别软件包许可证，并准备合规审查输入。

试试这些提示

生成第一个 SBOM

帮助我使用 Syft 为我的容器镜像生成 CycloneDX SBOM。如果缺少镜像名称，请询问。

扫描项目目录

指导我为此项目目录创建 SBOM。包括格式选择、排除项和验证步骤。

添加 CI 集成

审查我的 CI 管道，并添加 SBOM 生成和制品上传。固定工具版本，并避免使用远程 shell 安装器。

设计来源工作流

为多架构容器发布设计 SBOM 和漏洞管理工作流。包括签名、验证和证据保留。

最佳实践

固定扫描器版本，并在 CI 中运行下载的工具之前进行验证。
将 SBOM 与构建元数据一起存储，以便每个制品都能映射到一个发布版本。
当软件包名称会泄露私有架构时，限制 SBOM 访问权限。

避免

不要将远程安装脚本直接通过管道传入 shell。
不要在未抽查软件包检测结果的情况下，将生成的 SBOM 视为完整。
除非已批准披露，否则不要发布包含内部软件包详细信息的 SBOM。

常见问题

此技能可以帮助我创建什么？

它帮助使用 Syft 为容器、目录、归档文件和发布工作流创建 SBOM。

涵盖哪些 SBOM 格式？

它涵盖 CycloneDX、SPDX、Syft 原生输出、GitHub 依赖项提交和文本格式。

它可以直接扫描漏洞吗？

它解释如何将 Syft SBOM 与 Grype 或类似漏洞扫描器配合使用。

它需要 Docker 吗？

Docker 对容器工作流很有用，但本地 Syft 可以扫描镜像、归档文件和目录。

它可以支持合规审计吗？

它提供 SBOM 生成和保留指导，可支持审计证据收集。

使用模板之前我应该审查什么？

审查工具安装命令、版本固定、凭据处理和制品访问控制。

开发者详情

作者

AgentSecOps

许可证

MIT

作者版本

v0.1.0

Skillstore 修订

仓库

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/secsdlc/sbom-syft

引用

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

维护新鲜度

2026/7/24

使用量

7 次下载 · 386 次浏览

文件结构

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 rule-template.yaml

📁 references/

📄 EXAMPLE.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md