Trace-AI 是什么
Trace-AI 是一个供应链安全工具。它从你的仓库生成实时 SBOM，用可利用性而不是原始 CVE 数量来评分风险，检查授权合规，并跟踪 API、SDK、SLA 状态等供应商上下文。
站点写明前几个仓库免费。
你可以用它做什么
- 生成 CycloneDX 或 SPDX SBOM
- 按可利用性给漏洞排优先级
- 检查依赖授权
- 关注第三方供应商的暴露面
适合谁使用
- 开发与安全团队
- 需要 SBOM 证据的组织
- 负责供应链合规的团队
需要留意什么
- SBOM 输出是证据，不等于依赖安全的保证
- 可利用性评分要结合你自己的上下文与威胁模型核对
- 扫描仓库意味着授予代码访问权；要限定范围
- 当前的免费额度与价格需要确认
优点与缺点
✓ 我们认可的地方
- SBOM 生成接进 CI
- 按可利用性排优先级
- 包含授权合规
! 需要留意的地方
- 不是安全保证
- 仓库访问要限定范围
- 评分需要结合上下文
常见问题
它产出什么？
实时 SBOM，附带风险评分、许可合规检查与供应商可见性。
它能取代人工的安全工作吗？
不能。它负责整理证据；决策仍然由你的团队做出。
有免费档吗？
官网称前若干个代码仓库免费。
最后评测: 2026-09-17
