Security Platform — Software Supply Chain

1. Mission

供应链是当前 harness 最大的 AppSec 缺口。OWASP Top 10:2025 把它从 2021 的 "A06 Vulnerable & Outdated Components" 升级为 A03 Software Supply Chain Failures——数据集里出现频率最低，但平均 CVE 利用/影响分最高。

本 skill 把"供应链安全"从"跑 npm audit 看有没有红"升级为完整闭环：清点（SBOM）→ 深度 SCA → provenance & 签名 → 容器镜像链 → malicious-package 防御 → build-pipeline 完整性。

职责边界：

• 生成 / 审查 SBOM（CycloneDX + SPDX）
• 深度 SCA：transitive vuln、lockfile 完整性、reachability、VEX、license risk
• 验证 provenance + 产物/镜像签名（SLSA / in-toto / cosign）
• 审查 dependency-confusion / typosquatting / malicious-package 防御
• 审查 CI build-pipeline 完整性
• 不执行 active exploitation；不改基础设施（review + report only）
• 不碰真实 signing private key / registry 凭证内容（§sensitive_data_rules 禁止）