agent-bom
Agent-BOM es un escáner de seguridad y control plane autocontenido para IA, MCP y infraestructura en la nube. Permite ejecutar escaneos en tu entorno, centralizar hallazgos y gobernarlos dentro de tu VPC.
Ficha actualizada 22 sept 2026, 22:56 · upstream 22 sept 2026, 22:49 · release v0.105.0
Qué es agent-bom
Descripción editorial construida a partir del repositorio, su documentación y sus señales de mantenimiento.
Agent-BOM es una herramienta de seguridad abierta que combina un escáner de vulnerabilidades con un control plane autocontenido para inteligencia artificial, MCP (Model Context Protocol) y infraestructura en la nube. Su enfoque único se basa en un modelo de evidencia: ejecutar los escaneos dentro del entorno donde ocurren, centralizar los hallazgos y gobernarlos desde tu VPC. Esto permite a las organizaciones integrar la seguridad en sus flujos de trabajo sin depender de soluciones externas o de plataformas cerradas.
La herramienta está diseñada para equipos que desarrollan, construyen y gobiernan software. Permite inspeccionar repositorios, dependencias y configuraciones MCP; presentar hallazgos a herramientas de CI/CD y asistentes de codificación; conectar cuentas de nube y rastrear hallazgos a través de cargas de trabajo e identidades; y aplicar políticas mediante un control plane centralizado.
Agent-BOM se diferencia por su enfoque en la evidencia verificable. Cada hallazgo incluye referencias a fuentes, fecha de actualización y brechas de evaluación. Esto permite a los auditores y GRCs verificar el estado real del software sin depender de afirmaciones de terceros. Además, soporta múltiples ecosistemas (PyPI, npm, GitHub Packages) mediante un modelo de evidencia reproducible basado en modelos de confianza.
- Inspeccionar repositorios de código fuente y dependencias para identificar vulnerabilidades conocidas
- Ejecutar escaneos de seguridad en entornos MCP (Model Context Protocol) sin depender de plataformas externas
- Centralizar hallazgos de seguridad en un control plane autocontenido dentro del VPC de la organización
- Conectar cuentas de nube y rastrear hallazgos a través de cargas de trabajo, identidades y datos modelados
- Priorizar remedios mediante mapeo de riesgos entre frameworks (OWASP, MITRE) y controles evaluados
- Automatizar pruebas de seguridad en pipelines CI/CD con integración de resultados en artefactos SARIF o CycloneDX
- Soporta múltiples ecosistemas de dependencias: PyPI, npm, GitHub Packages y otros mediante un modelo de evidencia reproducible
- Permite ejecutar escaneos en entornos aislados (air-gapped) sin necesidad de conectividad a internet
- Proporciona acceso MCP para que asistentes de codificación accedan directamente a la evidencia de seguridad
- Soporta despliegue en infraestructura tradicional (Docker, Kubernetes), Snowflake y entornos restrictos
- Permite exportación de hallazgos en múltiples formatos: SARIF, CycloneDX, SPDX, JSON y HTML para integración con herramientas downstream
- Ofrece un control plane centralizado que permite gobernar la seguridad a través del proxy o gateway sin necesidad de infraestructura local
- La evidencia no constituye certificación ni opinión de auditoría; los resultados son referenciales y deben validarse con pruebas independientes
- Los escaneos pueden generar recursos temporales en la nube si se ejecutan en entornos sin conexión a internet, lo que genera costos adicionales
- El acceso MCP es read-only por defecto; para ejecutar acciones de remediation requiere permisos explícitos y configuración adicional
- La integración con herramientas externas como Snowflake o GitLab puede requerir configuraciones adicionales según el proveedor
- Los hallazgos pueden ser falsos positivos si no se valida la evidencia contra fuentes confiables, especialmente en entornos de desarrollo
Perfil de infraestructura
Estimación inicial derivada del repositorio y de los servicios detectados.
Despliegue detectado
Qué señales reales de instalación hemos encontrado.
Para pruebas locales, ejecutar con `docker compose up -d` desde un repositorio publicado. Abrir http://localhost:3000 y usar Connections o New Scan para iniciar.,Para entornos compartidos en VMs privadas o cloud, utilizar la configuración de despliegue autenticado que incluye PostgreSQL configurado y credenciales de identidad.,En Kubernetes, desplegar mediante Helm con el archivo `control-plane-helm` o usar Terraform con la plantilla EKS.,Para entornos Snowflake, instalar la aplicación nativa desde la documentación oficial del proveedor.,Para redes restringidas o air-gapped, utilizar el bundle de imágenes aisladas disponible en la documentación.,En todos los casos, se recomienda configurar un hook pre-commit para ejecutar gateadores y escaneos automáticos antes de añadir dependencias a CI/CD.
Stack y dependencias
Componentes inferidos a partir de manifests, configuración y documentación.
Puede sustituir a
Relaciones detectadas por el análisis del repositorio y su categoría.
Experiencia real de la comunidad
Ayuda a contrastar la estimación automática con instalaciones reales.
Todavía no hay datos comunitarios para este proyecto.