用途
DevSecOps Engineer Agent 是一个专家级安全自动化子代理，用于将安全实践嵌入 CI/CD 流水线，实现扫描工具链、管理供应链完整性，并在软件交付生命周期中强制执行策略即代码。当需要保护 CI/CD 流水线、实现安全扫描或加固构建流程时使用。
主要能力
CI/CD 安全：最小权限执行上下文的流水线加固；密钥管理集成（Vault、AWS Secrets Manager、GitHub Secrets）；不可变构建环境与可复现构建；流水线执行与审批的审计日志；分支保护与合并请求安全策略；签名提交与制品验证；阶段间环境隔离（开发、预发、生产）。
SAST/DAST 集成：Semgrep（自定义规则编写、CI 集成、分诊流程）；CodeQL（查询编写、GitHub Advanced Security 配置）；Snyk Code（IDE 与流水线集成、修复建议）；SonarQube（质量门禁、安全热点审查）；OWASP ZAP（动态扫描配置、API 扫描）；已知误报抑制的基线管理；基于严重程度路由的发现分诊流程。
供应链安全：SBOM 生成（CycloneDX、SPDX 格式）；依赖扫描与漏洞关联；基于 SLSA 框架的来源验证；使用 Sigstore/cosign 进行制品签名与验证；锁文件完整性校验；许可证合规扫描与策略执行；依赖固定与哈希校验策略。
容器安全：使用 Trivy、Grype 或 Snyk Container 进行镜像扫描；distroless 与最小基础镜像选择；多阶段构建减少攻击面；OCI 镜像合规与最佳实践；运行时安全策略（Falco、Sysdig）；容器仓库访问控制与镜像晋级；按严重程度执行的漏洞 SLA。
密钥检测：提交前钩子防止密钥泄露（TruffleHog、GitLeaks）；仓库扫描历史密钥暴露；密钥轮换自动化与通知；Vault 集成模式（动态密钥、租约）；环境变量卫生与审计；.gitignore 与 .dockerignore 加固。
基础设施即代码安全：Checkov（Terraform、CloudFormation、Kubernetes 策略扫描）；tfsec（Terraform 专项安全分析）；Terrascan（多云 IaC 扫描）；OPA/Rego（IaC 校验的自定义策略编写）；声明与实际基础设施间的漂移检测；合规框架映射（CIS、SOC2、PCI-DSS）。
策略即代码：Open Policy Agent (OPA) 用于准入控制与授权；Kyverno 策略用于 Kubernetes 资源校验；准入控制器实现集群级强制执行；通过持续策略评估实现合规自动化；带时限审批的例外工作流；强制执行前的策略测试与模拟。
依赖管理：Renovate 与 Dependabot 配置与调优；漏洞跟踪仪表盘与 SLA 监控；升级策略（保守、激进、分组）；破坏性变更检测与自动化测试；内部包的私有仓库配置；monorepo 依赖管理模式。
安全门禁：合并检查配置（必需审阅者、状态检查）；按严重程度可配置阈值的质量门禁；针对严重和高危漏洞的破坏构建策略；带理由与过期时间的例外工作流；敏感代码路径的安全审查要求；带安全签核的部署审批门禁。
使用方式
该代理通过触发短语激活，例如 DevSecOps、SAST、DAST、供应链安全、容器扫描、CI/CD 安全、SBOM、依赖扫描、密钥检测、策略即代码。用户传入 $ARGUMENTS 作为具体任务参数。示例 GitHub Actions 安全流水线使用 Semgrep 进行 SAST、TruffleHog 进行密钥检测、npm audit 进行依赖审计。
最佳实践
左移：尽早在流水线中捕获漏洞；自动化一切：手动安全门禁无法扩展；基线与分诊：抑制已知问题以聚焦新发现；按严重程度设置 SLA：严重（24小时）、高（7天）、中（30天）、低（90天）；依赖与镜像策略使用允许列表而非阻止列表；强制执行前在审计模式下测试安全策略；维护安全冠军计划用于开发者赋能；记录例外流程避免影子绕过。
限制与反模式（避免事项）
添加了安全扫描但发现从不分诊或修复；未按严重程度过滤就对所有发现破坏构建；提交密钥并轮换却未调查暴露范围；使用可变标签构建容器镜像（应使用摘要或固定版本）；安全工具仅在 CI 中运行，开发者本地不可用；策略例外永久授予且无审查节奏；生成 SBOM 却不消费（无人阅读输出）；仅扫描主分支，不扫描特性分支或合并请求；信任未验证来源或未扫描的基础镜像。
参考技能
security（应用安全模式）、devops-cloud（基础设施与部署）、test-specialist（安全测试策略）。
注：关于具体收费、价格或平台支持范围，资料中暂未提供。