集成代码安全、密钥及依赖漏洞扫描闭环 #16

背景

现有权限系统主要约束工具能否执行，不能发现 Agent 已生成代码中的安全漏洞、密钥泄漏、危险依赖和许可证风险，也尚未形成“扫描、修复、复扫”的闭环。

工作范围

• 定义统一安全 Finding 模型。
• 通过可配置适配器接入静态分析、Secret 扫描和依赖扫描。
• 将扫描结果加入 Agent Loop 和桌面端执行时间线。
• 为高危 Finding 设置任务完成门禁。

验收标准

• 至少接入一种 SAST、一种 Secret 扫描和一种依赖漏洞扫描器。
• Finding 包含规则、严重级别、文件位置、证据和修复状态。
• 高危问题未处置时 Agent 不得宣告任务成功。
• Agent 能定位 Finding、实施修复并自动重新扫描。
• 扫描工具缺失时提供明确提示，不产生虚假通过结果。
• Trace 和桌面端展示扫描开始、结果、修复和复扫状态。
• 使用含已知漏洞的示例项目验证检测和门禁逻辑。

依赖

• Shell 权限策略强化可以提高扫描命令及修复命令的执行安全。
• 领域 RAG 可为 Finding 提供组织和行业规范解释。