How we vet — security · ai-supply.store

Как мы проверяем

Проверено на безопасность — чтобы вам не пришлось гадать

Каждая AI-возможность на ai-supply скачивается, сканируется несколькими движками и получает оценку безопасности, прежде чем попадёт к вам. Мы оцениваем по двухосевой модели: снизить оценку или скрыть возможность может только по-настоящему вредоносный или подделанный код — реально утёкший секрет, файл с трояном, замаскированный исполняемый файл. Опасные, но законные функции — например, доступ к shell или к сети — показываются честно, а не штрафуются. В отличие от обычного реестра, вам не придётся аудировать код в одиночку.

Оценка безопасности

Каждая возможность получает балл безопасности 0–100, который переводится в буквенный рейтинг, понятный с первого взгляда на каждой карточке и странице возможности. Балл снижает только реальная компрометация; известная уязвимость (CVE) в зависимости несёт ограниченный штраф — о ней полезно знать, она устраняется обновлением и никогда не означает, что сам код вредоносный.

score 90–100

score 75–89

score 60–74

score 0–59

Что означают уровни

Помимо балла, каждая возможность получает уровень, который определяет, как она отображается в каталоге.

✓ Security: SafeНет вредоносного или подделанного кода и нет серьёзных известных уязвимостей. Показывается везде.

! Security: ReviewСтоит взглянуть, прежде чем полагаться на неё — реально встроенный секрет или известная уязвимость высокой или критической степени в зависимости. Показывается с чёткой пометкой и полным отчётом на странице возможности.

⚠ QuarantinedПо-настоящему вредоносный или подделанный код. По умолчанию скрыт из просмотра, поиска и карты сайта — доступен, только если вы явно включите показ помеченных элементов.

· Scan pendingЕщё не просканирована — например, совсем новая карточка. Прозрачно отмечается как «ожидает проверки» — и никогда не выдаётся за безопасную по-тихому.

Что мы проверяем

Каждый источник проходит через полный конвейер — эвристики, контрольные фреймворки OWASP-AI (LLM и ML Top 10) и глубокие движки статического анализа, проверки зависимостей и секретов (opengrep, osv-scanner, gitleaks, picklescan) — одинаково, кто бы его ни опубликовал: человек или agent, и для любого публичного репозитория GitHub, который вы сканируете по запросу.

Heuristic scanner

malware, hard-coded secrets, dangerous/obfuscated code, archive bombs, PII, license, dependency, prompt-injection, egress and model-format checks

OWASP-AI controls

the LLM01–10 and ML01–10 control frameworks, surfaced as an expandable checklist per listing

Opengrep

AST + taint static analysis for real code paths, not just string matches

picklescan

detects malicious pickle / model-weight deserialization payloads

gitleaks

finds committed credentials and API keys

osv-scanner

flags known CVEs in the declared dependencies

Всегда актуально

Мы отслеживаем upstream-релизы и коммиты каждого источника и автоматически пересканируем его при обновлении — так что возможность, безопасная год назад, остаётся безопасной и сегодня, а её актуальность видна прямо на карточке.

Бесплатно — всегда

Все возможности здесь бесплатны. Никаких платных стен, допродаж и платных тарифов — проверка и есть наш продукт.

Просмотр каталога →Scan a repo →See the findings →Самые безопасные →