AI Agent 供应链安全

原名：agent-supply-chain

检查智能体依赖、插件、技能、MCP 服务和模型来源的供应链风险。

中文 Skills 技能说明

适合引入新工具或发布智能体前使用。需要核对来源、许可证、固定版本、校验值、权限和更新机制；安装、升级或移除生产依赖前必须展示影响与回退方案，并由负责人确认。

上游能力依据

上游原始适用说明：Verify supply chain integrity for AI agent plugins, tools, and dependencies. Use this skill when: - Generating SHA-256 integrity manifests for agent plugins or tool packages - Verifying that installed plugins match their published manifests - Detecting tampered, modified, or untracked files in agent tool directories - Auditing dependency pinning and version policies for agent components - Building provenance chains for agent plugin promotion (dev → staging → production) - Any request like "verify plugin integrity", "generate manifest", "check supply chain", or "sign this plugin"

上游 SKILL.md 主要章节（保留原文标题）：

• Overview
• When to Use
• Pattern 1: Generate Integrity Manifest
• Pattern 2: Verify Integrity
• Pattern 3: Dependency Version Audit
• Pattern 4: Promotion Gate
• CI Integration
• Best Practices
• Related Resources

使用边界

先确认授权范围、资产边界和证据来源。输出用于防御性检查与人工决策，不自动执行攻击、绕过或破坏性操作。

作者、翻译与许可证

原作者

GitHub, Inc. 与 awesome-copilot contributors

中文翻译

CEOFans翻译

许可证

MIT

上游来源

https://github.com/github/awesome-copilot/tree/3f0bba475ec40b9680e1d0311b9caffeec5ad4c3/skills/agent-supply-chain

适用范围

平台：linux、macos、windows；标签：安全与合规、AI Agent 供应链安全

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。