北京
Sonatype 最近給 AI 編程工具造了個"安檢系統"——Guide。你可以把它理解成機場安檢：AI 生成的代碼想進你的倉庫，得先過一遍掃描，確認帶的"行李"（依賴包）沒問題才能放行。
這套系統塞進了一個 MCP 服務器，直接對接 Copilot、Claude、Codex 這些主流 AI 助手。它的核心動作很簡單：只推送安全可靠的包版本，把那些有漏洞的、過期的、甚至根本不存在的東西攔在外面。
Sonatype CEO Bhagwat Swaroop 點出了一個挺尷尬的現實：AI 編程助手的訓練數據往往滯后數月甚至數年，推薦出來的依賴包有 27% 的概率是幻覺——要么不存在，要么已廢棄，要么帶毒。開發者照單全收的話，返工、燒 Token、埋雷，一個都跑不掉。
Guide 的另一頭是 Nexus One Platform API，面向企業級場景。CI/CD 管道能接，聊天機器人能接，問題跟蹤器也能接。Sonatype 給的數據是：用上這套東西，安全代碼生成效率翻三倍，修復和升級的綜合成本降到原來的五分之一以下。
競品不是沒有。Snyk、Mend、OWASP Dependency-Check 都在做類似的事，但大多還沒摸到 MCP 服務器這層——目前只有 Snyk 有個實驗性的版本。
一位提前試用的開發者反饋，最直觀的改變是 AI 推薦依賴時終于會標注"這個版本有 CVE 漏洞，建議換到 x.x.x"——而不是像以前那樣，自信滿滿地丟過來一個兩年前的過期包。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
