Sonatype 推出 Guide，強化 AI 輔助代碼生成的安全性

作者 | Sergio De Simone

譯者 | 明知山

Sonatype Guide 是一個實時防護欄系統，部署在 AI 編程工具與開源生態之間，能夠確保 AI 生成代碼所使用的依賴項安全合規、有效可用且易于維護。

Sonatype Guide 包含了一系列獨立工具，包括 MCP 服務器、增強搜索功能以及 Nexus One Platform API 的訪問權限。

通過將 Sonatype 的可信數據拓展至支持現代模型上下文協議（MCP）的 IDE，Guide 可幫助開發者與 AI 工具選擇最優、最安全的開源組件，同時簡化和優化依賴管理流程。

Guide 通過 MCP 服務器 為 Copilot、Claude、Codex 等 AI 編程工具提供安全情報。該 MCP 服務器僅篩選安全可靠的版本并推送實時包推薦，從而防范不安全代碼流入代碼倉庫。

Sonatype 表示，其增強型搜索功能能夠為開發者提供成本最低、收益最高的修復與升級方案。Nexus One Platform API 是一組企業級接口，可全面、無限制且向后兼容地訪問組件與倉庫的安全數據。該 API 專為基礎設施即代碼（Infrastructure-as-Code）工作流打造，既能夠與 CI/CD 管道集成，將組件及漏洞檢測自動化融入構建流程，也可直接把組件與漏洞查詢嵌入聊天機器人、問題跟蹤器等開發者工具中。

Sonatype 首席執行官 Bhagwat Swaroop 解釋稱，基于大語言模型（LLM）生成代碼的核心難題在于安全數據更新滯后、極易失效：

AI 編程助手通?；跍髷翟律踔翑的甑墓_數據進行訓練，因此可能推薦存在漏洞、質量不佳甚至虛構的軟件包，不僅造成返工、浪費算力與 Token 成本，還會引入額外的安全隱患。

事實上，Sonatype 研究發現，大語言模型 產生依賴包幻覺的概率高達 27%，常會推薦不存在、已廢棄或帶有惡意風險的依賴包。這不僅導致開發返工、拖慢交付進度、消耗額外的 LLM 算力與 Token 成本，還會引入不必要的安全隱患。

Sonatype 表示，采用 Guide 的企業，其安全代碼生成效率提升三倍，安全修復與依賴項升級的綜合成本降低了五倍以上。

Sonatype Guide 并非唯一面向開發流程與軟件供應鏈安全防護的 AI 相關工具。在依賴項與上下文安全情報領域，其競品包括 Snyk、Mend 以及開源工具 OWASP Dependency-Check 等。不過，這類工具大多尚未提供可直接接入 AI 工作流的 MCP 服務器，僅有 Snyk 推出了一款實驗性的 MCP 服務器。

查看英文原文：

https://www.infoq.com/news/2026/03/sonatype-guide-safety-mcp-server/

聲明：本文由 InfoQ 翻譯，未經許可禁止轉載。