supply-chain-risk-auditor 是什麼、怎麼安裝使用：Trail of Bits 的依賴供應鏈風險審計 Skill（npm / PyPI / Go）

本文根據 trailofbits/skills 倉庫裏該技能的 SKILL.md 與倉庫 README 整理，資料核對於 2026-10-11。所在倉庫 trailofbits/skills 在 GitHub 約 7462 Star（同日數據）。技能內容會隨倉庫更新，以倉庫為準。

這個 Skill 做什麼

現代項目的代碼大部分來自依賴，近幾年的重大安全事件也多發生在這裏：維護者帳號被盜、包被棄用後遭人接管、安裝腳本里藏了東西。supply-chain-risk-auditor 給項目的依賴做一次體檢。description：審計項目依賴的供應鏈風險——針對直接依賴和完整鎖文件樹的、與版本匹配的安全公告，被棄用或已歸檔的上游，npm 發佈者的集中度，以及安裝時執行的腳本；被要求審計依賴、評估供應鏈或第三方包風險，或在正式審計前梳理依賴樹時使用。支持 npm、PyPI 和 Go。

它的設計思路寫在小節標題裏：為什麼由腳本負責測量，而不是你。報告裏的每個數字都是對別人項目的斷言，手工收集的數字容易出錯，所以由兩個確定性的腳本去採集和建模；留給智能體的是腳本拒絕自動化的那部分——判斷。

工作流大致是：運行採集腳本拉取依賴的各項數據 → 生成報告 → 智能體閱讀報告並補充分析，說明哪些風險真正值得處理。技能對「你補充的內容該怎麼寫」有專門的風格要求，並有「如何讀報告」和要拒絕的開脫說法兩節。

怎麼安裝

supply-chain-risk-auditor 在 trailofbits/skills 裏屬於 supply-chain-risk-auditor 插件。Claude Code 先登記市場，再在選單裏選擇要裝的插件（命令來自倉庫 README）：

text
/plugin marketplace add trailofbits/skills
/plugin menu

Codex 用 codex plugin marketplace add trailofbits/skills，再執行 codex plugin add supply-chain-risk-auditor@trailofbits。

倉庫整體介紹和其他安裝方式，詳見本站《trailofbits/skills 是什麼、怎麼安裝：Trail of Bits 的代碼安全審計 Skills（靜態分析、差異評審、供應鏈檢查）》。

怎麼用

• 「審計這個項目的依賴，給我一份供應鏈風險報告」。
• 「我們打算引入這個新包，評估一下它的風險」。
• 「報告裏哪三項最該優先處理？給出替換或緩解建議」。

scripts/ 下是一套帶測試的 Python 腳本（採集、建模、渲染、數據源），用 uv 管理依賴。

適合誰 / 侷限

適合有一定規模依賴樹的項目負責人、做安全評估的工程師，以及需要回答客戶供應鏈問卷的團隊。它衡量的是可觀測的風險信號，「維護者少」不等於「有問題」，結論需要結合實際判斷；它不審計依賴的原始碼本身，也不是持續監控，只代表運行那一刻的狀態。

注意事項

• 許可：CC BY-SA 4.0，改編後須以相同方式共享。
• 會執行腳本並聯網：向包倉庫和公告數據庫查詢公開資訊；聲明的工具權限含 Bash 與 Write。
• 查詢的是公開元數據，不會上載你的原始碼，但依賴清單本身會體現在請求裏。