AppSec.Track · Первый российский AI/SCA/OSA-анализатор AppSec.Track — контроль состава ПО и цепочки поставок с силой ИИ
Анализируйте open-source и сторонние компоненты, находите уязвимости, malware, опасные лицензии и секреты, проверяйте AI/ML-компоненты — и блокируйте риски цепочки поставок ПО.
Приложение собрано из чужого кода — и наследует его риски
Open-source ускоряет разработку, но приносит уязвимости, вредоносные пакеты и лицензионные ограничения. AppSec.Track берёт цепочку поставок ПО под контроль.
77% приложения — чужой код
Современное приложение до 77% состоит из стороннего и open-source кода, который вы не писали и не контролируете напрямую.
Атака идёт через зависимости
Log4Shell, XZ Utils, dependency confusion, typosquatting и protestware — цепочка поставок ПО стала главным вектором атак.
Риск прячется в глубине
Критичные уязвимости, вредоносный код и опасные лицензии скрыты в транзитивных зависимостях 2+ уровня, которых нет в манифестах.
OSA, SCA и AI/ML — контроль опенсорса на входе, на сборке и в ИИ-решениях
AppSec.Track контролирует цепочку поставок ПО на трёх уровнях: не пускает опасные компоненты в контур (OSA), проверяет состав приложения на каждой сборке (SCA) и защищает AI/ML-решения — сами модели и их open-source-окружение.
Контроль опенсорса при загрузке
Компоненты проверяются в момент попадания в организацию — вредоносное и нежелательное блокируется до того, как окажется у разработчика.
- OSA Firewall: блокировка загрузки malware и protestware в реальном времени
- Защита от Dependency Confusion, Typosquatting и MavenGate
- Безопасный внутренний репозиторий компонентов и реестр используемого ПО
- Проверка целостности и hash-сумм загружаемых пакетов
Проверка состава приложения
На этапе сборки, публикации и деплоя AppSec.Track разбирает приложение до последней зависимости и держит Quality Gate.
- Полное дерево зависимостей, включая транзитивные, без ограничения уровня
- Блокировка пайплайна при нарушении Quality Gate
- Отслеживание новых уязвимостей в уже собранных приложениях
- Проверка артефактов подрядчиков и задачи на исправление в трекерах
Анализ опенсорса в ИИ-решениях
Open-source приходит и в ИИ-разработку — в виде моделей из публичных хабов и их окружения. AppSec.Track контролирует и то, и другое.
- Статический анализ файлов моделей из Hugging Face без запуска — поиск кода, исполняемого при загрузке
- Контроль AI/ML-стека: PyPI, npm, CUDA, Julia и другие специализированные репозитории
- Проверка файлов моделей на вредоносный код при загрузке
Управляемый риск open-source и цепочки поставок
Прозрачность стороннего кода и зависимостей — без остановки разработки.
Контроль риска
Уязвимые и небезопасные зависимости видны и приоритизированы.
Прозрачность поставок
Состав ПО и SBOM — готовность к требованиям заказчиков и регуляторов.
Лицензионная чистота
Контроль лицензий open-source снижает правовые риски.
Полный контроль состава ПО и ИИ-решений
Инвентаризация состава ПО, поиск уязвимостей, мониторинг появления 0-day и сравнение версий сканирований.
Прямые и транзитивные зависимости без ограничения уровня + интерактивный граф связей компонентов.
2 млн+ уязвимостей из 20+ баз (NVD, БДУ ФСТЭК, CISA и VulnCheck KEV, EPSS, GHSA, OSV) + русификация описаний ИИ; привязка к версии и PURL — меньше ложных срабатываний.
OSA Firewall блокирует загрузку malware и protestware, защищает от Dependency Confusion, Typosquatting и MavenGate.
Статический анализ файлов моделей (PyTorch, TensorFlow, Keras) без запуска — поиск кода, исполняемого при загрузке, ещё до попадания модели из Hugging Face в контур.
Генерация и управление SBOM (SPDX): хранение оригиналов, непрерывный мониторинг и сравнение версий (diff).
Чёрные/белые списки и группы лицензий (Commercial, Copyleft), проверка совместимости, текст лицензии, отчёты.
API-ключи, токены, пароли и ошибки конфигурации в исходном коде и Docker-образах.
Анализ достижимости в SCA
ML-модель — исполняемый артефакт, а не просто «веса»
Модели из публичных хабов (Hugging Face) распространяются в сериализованных форматах, которые при загрузке способны выполнить произвольный код — на машине разработчика или прямо в CI. Классический сканер зависимостей этого не видит: вредонос спрятан внутри самого файла модели. AppSec.Track закрывает угрозу на двух рубежах.
Рубеж 1 · Статический сканер моделей
Анализ файла модели без её запуска: AppSec.Track ищет внутри код, способный выполниться при загрузке (десериализации). На входе в контур модель уходит в карантин и недоступна разработчику, пока не пройдёт проверку.
- PyTorch, TensorFlow, Keras и другие сериализованные форматы, включая вложенные архивы
- Каждой угрозе присваивается уровень критичности
- Проверка один раз на входе — дальше модель не пересканируется
Рубеж 2 · Track.Feed для окружения
Вместе с моделью в проект приходит окружение, через которое она загружается и работает. Его безопасность AppSec.Track контролирует фидом — по известным уязвимостям через SBOM на этапе сборки.
- Экосистемы ML-стека: PyPI, npm, Maven, NuGet, CUDA, Julia
- Собственная БД и отраслевые источники
- Онлайн или в закрытом контуре (Air Gap)
Что ищем в файлах модели
Вызовы системных функций и запуск процессов в момент десериализации модели.
Обращения к сети, файловой системе и оболочке ОС из файлов модели.
Слои и объекты TensorFlow и Keras, исполняющие код при загрузке модели.
MCP-сервер: подключите нейросеть к AppSec.Track
Подключайте LLM-редактор кода — Cursor, Windsurf, Claude Code, ГигаЧат — к AppSec.Track по MCP-протоколу. AppSec.Track выступает MCP-сервером и проверяет состав и безопасность зависимостей прямо в диалоге с ИИ.
Анализируйте проект и получайте список компонентов и нарушенных политик прямо в диалоге с ИИ. MCP помогает выявлять несуществующие (LLM-галлюцинации), устаревшие и небезопасные пакеты ещё до их попадания в проект.
AppSec.Track MCP-сервер Прозрачный состав, риски и лицензии в одном окне
Наглядный граф прямых и транзитивных зависимостей
Интерактивный граф связей компонентов без ограничения уровня — мгновенно видно, откуда в продукт попала уязвимость и какие компоненты её тянут.
| Компонент | Версия | Лицензия | Статус |
|---|---|---|---|
| log4j-core | 2.14.1 | Apache-2.0 | Critical |
| reqests | 2.31.0 | — | Typosquat |
| snakeyaml | 1.30 | Apache-2.0 | High |
| strong-crypto | 3.1.0 | GPL-3.0 | Лицензия |
| lodash | 4.17.21 | MIT | чисто |
SBOM: компоненты, лицензии, уязвимости и malware
Паспорт ПО с версиями, лицензиями и статусом. Критичные компоненты, опасные лицензии и подменённые пакеты (typosquatting) подсвечиваются сразу.
Приоритизация по критичности, EPSS, KEV и достижимости
Дашборд показывает распределение находок и отсекает то, что не эксплуатируется в вашем коде, — команда занимается действительно важным.
| Компонент | Версия | CVSS | KEV due |
|---|---|---|---|
| tomcat-embed-core | 10.1.34 | 9.8 | 22.04.2025 |
| xstream | 1.4.5 | 9.8 | 31.03.2023 |
Проверка зависимостей прямо в диалоге с ИИ
Через MCP-сервер AppSec.Track агент в AI-редакторе собирает SBOM, отправляет компоненты в AppSec.Track и показывает, что заблокировано политикой — с привязкой к CISA KEV.
* Изображения интерфейса приведены для иллюстрации.
SBOM и проверки прямо в конвейере
AppSec.Track формирует SBOM и держит Quality Gate на любой платформе — нативный CLI для Windows, Linux (в т.ч. ALT Linux) и macOS. Анализируются Docker-образы, файлы манифестов, lock-файлы и корневая ФС.
Результат сохраняется в CycloneDX, выгружается в VEX, а сканирования можно сравнивать между собой.
Меньше шума — быстрее реакция
AppSec.Track не просто находит проблемы, а помогает их решать: гибкие политики, анализ достижимости и удобный триаж отсекают ложные срабатывания и ускоряют исправление.
Гибкие политики и исключения
Иерархическая модель и готовые наборы Best Practice — контроль без ручной рутины.
- Уровни: глобально → проекты → репозитории и приложения
- 120+ критериев: атрибуты компонента и уязвимости, лицензии, хеш, авторы
- Исключения и проверка по PURL ещё до сканирования
Анализ достижимости
Встроенный SAST-модуль подтверждает, что уязвимость реально эксплуатируема в вашем коде.
- Проверка наличия условий эксплуатации на уровне кода
- Автоматический триаж нарушений по достижимости
- Меньше ложных срабатываний — фокус на важном
Единый разбор находок
Все нарушения в одном месте — с прозрачным статусом и обоснованием.
- VEX-статусы: Exploitable, Not affected, False positive, In triage
- Статусы нарушений компонентов по признаку: Accepted, Rejected
- Разметка не только по уязвимостям, но и по свойствам самого компонента: дата выпуска, автор, несовпадение хеша и других
- Область действия статуса — приложение, конкретная версия или отдельный скан; статус наследуется
- Выгрузка в JSON/VEX и задачи в Jira
Встраивается в ваш DevSecOps-конвейер
AppSec.Track анализирует зависимости на всех этапах SSDL — от IDE и репозиториев компонентов до CI/CD и реестров образов. А через MCP-протокол к нему подключаются LLM-редакторы — Cursor, Windsurf, Claude Code, ГигаЧат.
Репозитории компонентов
Контроль версий
CI/CD
LLM-редакторы · MCP
AppSec.Track SCA / OSA-ядро AppSec.Hub
Источники данных
Трекеры задач
SIEM · мониторинг
Готов к российским требованиям и закрытому контуру
Продукты AppSec Solutions используют ведущие компании банковского сектора, страхования, промышленности, онлайн-ритейла и телекома — включая участников рейтинга РБК 500.
От репозитория до контроля рисков — за три шага
Подключите источник
Git-репозиторий, репозиторий компонентов, Docker-образ, манифесты пакетных менеджеров или CI через Track.CLI.
Анализ состава и рисков
AppSec.Track строит SBOM и дерево зависимостей, ищет уязвимости, malware, лицензии и секреты, проверяет AI/ML-компоненты.
Политики и реакция
Блокировка загрузки и сборки по 120+ критериям, приоритизация по EPSS/KEV/достижимости, задачи в Jira и отчёты.
Частые вопросы
Чем SCA/OSA отличается от SAST?
Какие источники уязвимостей использует AppSec.Track?
Находит ли AppSec.Track транзитивные зависимости?
Как AppSec.Track защищает от атак на цепочку поставок?
Что даёт проверка AI/ML-компонентов и MCP-коннект?
Можно ли развернуть в закрытом контуре?
Другие продукты экосистемы
Как приоритизировать уязвимости в SCA с помощью CISA KEV