agent-bom compliance 是一款专为 AI 基础设施设计的合规与策略引擎，旨在帮助组织快速评估其 AI 系统是否符合多种国际主流安全与监管框架。该工具通过本地化处理扫描数据，无需依赖外部网络调用或上传敏感信息，确保用户隐私和数据安全。它支持对 OWASP LLM Top 10、NIST AI RMF、SOC 2、ISO 27001、CMMC、EU AI Act 等共计 14 项权威标准进行自动化合规检查，覆盖从模型开发到部署运维的全生命周期风险点。无论是应对欧盟《人工智能法案》的透明度要求，还是满足美国联邦采购中 FedRAMP 或 CMMC 的认证需求，agent-bom 都能提供精准的策略验证与报告生成能力。此外，该工具还支持生成符合行业规范的软件物料清单（SBOM），如 CycloneDX 和 SPDX 格式，助力供应链安全管理。整体设计强调零遥测、无追踪，所有核心功能均在本地执行，适合注重数据主权与合规审计的企业环境使用。
核心功能特点
- 支持 14 项全球主流安全及合规框架自动评估，包括 OWASP LLM Top 10、NIST AI RMF、EU AI Act、SOC 2 和 ISO 27001 等
- 基于策略即代码（Policy-as-Code）机制实现灵活的安全规则配置与强制执行，支持自定义 17 种条件判断
- 可生成标准化的软件物料清单（SBOM），输出格式兼容 CycloneDX 和 SPDX，便于供应链安全审计
- 内置 AISVS v1.0 和 CIS Benchmark 检测模块，覆盖 9 项 AI 专项安全检查与云账户基准比对
- 所有核心合规检查均离线运行，仅在使用 CIS 基准时需主动授权调用云服务商只读 API，保障最小权限原则
适用场景
agent-bom compliance 特别适用于需要同时满足多项国际合规要求的 AI 项目团队与企业 IT 治理部门。例如，在开发面向欧洲市场的生成式 AI 应用时，开发者可通过该工具快速验证其系统是否满足 EU AI Act 中对高风险系统的透明度和 SBOM 提交义务；而在美国联邦政府合同项目中，则可利用其对 NIST 800-53 Rev 5 和 CMMC 2.0 Level 2/3 的支持，自动生成符合 FedRAMP Moderate 级别的审计报告，显著缩短认证周期。对于金融、医疗等强监管行业，该工具还能结合 SOC 2 Type II 和 ISO 27001 控制项，持续监控数据泄露、提示注入等关键风险，并生成可追溯的合规证据链。此外，当企业引入第三方 AI 组件或微服务架构时，通过集成 generate_sbom 功能，可自动构建完整的软件供应链图谱，识别潜在漏洞来源，从而有效防范供应链攻击。由于其完全本地化的运行机制，即使在没有公网连接的内网环境中，也能稳定执行全面合规扫描，非常适合高安全等级场景下的闭环管理。