2025 年，PyPI 上发现的恶意包数量同比增长了 230%。从信息窃取到挖矿脚本，从反向 Shell 到勒索软件，开源生态正在成为攻击者的乐土。

不只是已知漏洞

传统 SCA 工具的核心能力是 CVE 匹配——拿项目的依赖列表去 NVD 数据库比对，发现有已知漏洞的就报警。但这类工具完全无法应对：

  • 恶意投毒包：作者故意植入后门的新包，CVE 数据库中根本不存在
  • 拼写欺诈：requesets vs requests，一字母之差就是恶意包
  • 依赖混淆：利用私有包名在公开仓库注册同名包，骗取安装

Vexis AI 的 SCA 多层防御

我们的 SCA 引擎采用代码级依赖分析，不是简单的制品扫描：

  • 真实 import/require 解析：只分析实际被代码引用的依赖，消除构建产物中的冗余噪音
  • 行为沙箱检测：对可疑包在隔离环境中安装并监控其行为——是否有网络连接？是否读取敏感文件？
  • P0-P3 智能降噪：五维 AI 风险评估，将真正高危的供应链风险从噪音中分离

影响面定位是核心

一个底层组件的漏洞，到底影响了哪些上层服务？传统方案需要人工逐个排查。Vexis AI 的依赖图谱可以在秒级给出完整的影响链路——从漏洞组件到受影响的应用，再到具体的调用路径。