Snyk
Snyk是一款面向开发者的云原生应用安全平台，专注于帮助团队在开发生命周期中发现并修复安全漏洞。其核心功能涵盖开源依赖项漏洞扫描、容器镜像安全检测、基础设施即代码（IaC）安全审查及代码自身的静态安全分析，支持与主流CI/CD工具链、IDE及代码仓库集成，旨在将安全检测前移至开发阶段。
时间轴 (近 90 天)
GitHub的dependency graph和Snyk自身的reachability功能都在朝可达性分析方向演进。
与 Snyk、GitHub Advanced Security 等商业方案不同，Google OSV 不限制查询量、无需付费密钥。
Snyk Agent Scan需要账号，因此未参加本次测试。
商业或开源 SCA 工具如 Snyk、FOSSA、Socket.dev 通常聚合多个漏洞情报源并能对包的行为模式进行静态分析
机器可读的 findings 通常以 SARIF、JSON Schema 或 CycloneDX 等标准格式输出，被 GitHub Advanced Security、Jira、Snyk 等平台原生支持
Semgrep、Snyk、Dependabot等传统工具可识别已知漏洞模式，但对业务逻辑层面的安全缺陷力不从心
Snyk、GitHub Advanced Security、Semgrep 等工具已在 CI 层面实现漏洞扫描与部分自动修复建议
传统代码安全扫描工具如 Snyk、SonarQube、Semgrep 通常集成在 CI/CD 流水线中，在代码提交或合并请求后才触发检测
npm audit、Socket、Snyk等工具可对依赖进行自动化安全检测
Trivy、Grype、Snyk 是常见的容器镜像漏洞扫描器
还有 6 条时间轴事件
全部知识事实 (20)
典型的自动化质量门禁工具链包括ESLint、SonarQube、Pylint用于静态代码分析，Snyk、Semgrep用于安全扫描
90%待验证传统的静态分析工具如 SonarQube、Snyk 基于规则匹配，缺乏对业务逻辑的深层理解
75%待验证AI安全正在从产品的可选附加项变成基础设施级的必选项
75%待验证2024年AI安全初创公司的融资总额超过80亿美元
70%待验证AI 代码审查工具基于大语言模型，擅长自然语言层面的模式匹配，但在结构化语法验证方面存在天然短板
60%待验证GitHub的dependency graph和Snyk自身的reachability功能都在朝可达性分析方向演进。
50%待验证与 Snyk、GitHub Advanced Security 等商业方案不同，Google OSV 不限制查询量、无需付费密钥。
50%待验证Snyk Agent Scan需要账号，因此未参加本次测试。
50%待验证商业或开源 SCA 工具如 Snyk、FOSSA、Socket.dev 通常聚合多个漏洞情报源并能对包的行为模式进行静态分析
50%待验证机器可读的 findings 通常以 SARIF、JSON Schema 或 CycloneDX 等标准格式输出，被 GitHub Advanced Security、Jira、Snyk 等平台原生支持
50%待验证Semgrep、Snyk、Dependabot等传统工具可识别已知漏洞模式，但对业务逻辑层面的安全缺陷力不从心
50%待验证Snyk、GitHub Advanced Security、Semgrep 等工具已在 CI 层面实现漏洞扫描与部分自动修复建议
50%待验证传统代码安全扫描工具如 Snyk、SonarQube、Semgrep 通常集成在 CI/CD 流水线中，在代码提交或合并请求后才触发检测
50%待验证npm audit、Socket、Snyk等工具可对依赖进行自动化安全检测
50%待验证Trivy、Grype、Snyk 是常见的容器镜像漏洞扫描器
50%待验证Steve Yegge是前谷歌资深工程师，此次演讲代表Snyk在AI Engineer大会上进行
50%待验证Yegge在自己代码库上跑Snyk时未扫出任何超出公开CVE的私有漏洞
50%待验证Dependabot、Snyk、Renovate 等工具已经解决了开源包依赖的版本更新与安全漏洞管理，但对 API 层面的运行时依赖变更缺乏成熟的自动化工具
50%待验证代码分析工具的发展经历了三个主要阶段：第一代静态代码分析工具、第二代动态分析和安全扫描、第三代融合AI能力
50%待验证供应链安全工具如Socket.dev、Snyk开始集成代码相似度识别能力，帮助开发者识别可疑的套壳包
50%