Python 依赖投毒前置扫描器

给使用 AI Agent 的开发者一个能在安装前拦下被利用 CVE 与弃维护包的轻量扫描器

痛点

有人自己写了开源 Python 依赖扫描器，因为现有工具要么只看通用 CVE，要么不关注「两年没发布或提交」的弃维护包，而且没有针对 AI Agent 的防护——Agent 可能随手安装被利用的包。

方案

一个本地 CLI 与预提交钩子，在 pip/uv 安装和 Agent 生成代码前扫描依赖，标记 CISA 已知被利用 CVE、FIRST EPSS 高风险项和两年无更新的弃维护包，并给出替代建议。可与主流 AI 编码工具的 hook 机制集成。

用户

使用 AI 编码工具的个人开发者与小型团队，以及负责 Python 供应链安全的工程师。

MVP

解析 requirements/uv.lock；对接 CISA KEV 与 EPSS 数据；标记两年无 release/commit 的包；提供 pre-commit 与 Agent hook；输出可读报告与退出码。

变现

开源核心 + 团队版订阅（私有规则、CI 集成、Slack 告警、策略托管）。

为何现在

AI Agent 让「随手装包」变得普遍，弃维护包和被利用 CVE 的暴露面同步放大，而现有扫描器尚未针对 Agent 工作流做拦截。