Mend.io（原名WhiteSource）是一个开源安全与许可合规平台。根据其官方介绍，传统应用安全漏掉了AI风险，而独立的AI安全工具又与代码脱节。Mend.io试图以面向AppSec与AI的统一安全来弥合这一缺口，目标是“加固逻辑、保护代码、自动化其余部分”，为团队编写软件和构建的AI提供统一治理。
一、用途与定位 官方指出，攻击面已经改变，但多数安全工具并未跟上。AI组件、开源依赖和生产环境中的智能体引入了传统开发者安全工具无法发现、测试或治理的风险。Mend.io定位于应对供应链盲区：现代代码库包含数千个开源包、AI模型与智能体，许多未经安全审查；无法盘点就无法排定风险优先级。同时，AI智能体具有非确定性，提示词变更、模型更新或新的输入路径可能引入上一轮AI安全扫描中不存在的漏洞，静态工具无法捕捉。此外，静态分析与部署前扫描不能阻止运行时利用，注入攻击与行为滥用发生在生产环境，而合规压力（如EU AI Act、第14028号行政令、网络弹性法案）要求可验证的技术证据，证明软件与AI系统已被盘点、测试和保护。
二、主要能力 平台声称提供全栈软件与AI可见性，可呈现代码库中的每个组件——包、AI模型、智能体、系统提示——包括标准工具遗漏的影子依赖，并持续更新SBOM/AI-BOM，供安全与合规团队使用。针对动态AI风险，提供持续AI行为测试：在每个构建发布前运行自动化攻击模拟，覆盖注入、数据泄露及AI特定向量。针对运行时风险，提供运行时应用内保护：在用户与应用之间实施行为控制，监控实时交互、执行策略并阻止不安全行为，主动持续且不依赖补丁周期。合规方面，提供单一证据层，将清单、发现、测试结果与修复状态汇聚到统一治理工作流中，形成结构化、可审计的记录。
三、具体功能项 官方列出的功能包括：CRA attestation、NIST attestation、模型发现、系统提示加固、AI风险排名、AI安全测试、运行时护栏、SCA+SAST+DAST、密钥检测、可达性分析、自动修复、上下文指导、策略与构建卡点。平台还强调统一AppSec贯穿SDLC，包含SCA、SAST、Renovate Enterprise和AI；并可自动化依赖更新以保持依赖健康。
四、使用方式 资料仅提供官网 https://www.mend.io/ ，未提供具体安装命令、代码示例或分步操作流程，因此使用方式暂未提供。文中提及可与CI/CD、代码仓库集成，以及策略执行与构建卡点，但未给出详细配置说明。
五、适用场景与用户反馈 适用于AI安全、应用安全与依赖管理，面向安全与开发团队，旨在减少工具分散、降低修复工作量。官方引用用户评价称：使用后生产漏洞约减少80%，开源审计从约一周缩短至15分钟，修复时间减少至少80%，可自动发现CVE，并帮助实现“左移”，在开发周期内识别和修复开源依赖（SCA）与自定义代码（SAST）漏洞；可达性分析有助于优先处理可利用漏洞、减少开发者疲劳。
六、限制与未提供信息 资料未提供具体收费、价格、免费试用、支持平台、部署方式、语言支持范围以及与中国法规相关的内容。关于CRA、NIST等合规能力的适用范围和具体实现细节，资料未展开。以上内容仅依据官方文本整理，未提供事实均标注为暂未提供。
