chainloop

chainloop 概覽

這是什麼

Chainloop 是代理式 SDLC 基礎設施。它將軟體交付過程中從第一個提示到發佈的所有事件收集到一個可信的圖譜中。每個 AI 編碼工作階段、拉取請求、建置、SBOM、掃描和測試報告都會成為您自己 registry 或 bucket 中的簽名、帶時間戳的記錄。規則存放在 git 中，違反規則會導致管線失敗。它基於 Sigstore 和 in-toto 建構，採用 Apache 2.0 授權，可自行託管。自 2024 年起已在高度監管企業的關鍵基礎設施上投入生產。

主要功能

• 將 AI 編碼工作階段、拉取請求、建置、SBOM、掃描和測試報告收集為簽名、帶時間戳的記錄，存放於您自己的 OCI registry、S3 或 Azure Blob。
• 透過工作流程合約以及以 Rego 或 WASM 撰寫的政策來定義護欄。
• 持續執行：檢查每筆記錄是否符合合約與政策；若不符合，管線會失敗，違規事項會簽入記錄中。
• 為人員、管線和 AI 代理使用同一套規則，無需另設 AI 治理軌道。
• 規則是程式碼（Rego 或 WASM）而非提示詞，提供確定性結果。
• 證據是您自己儲存空間中的簽名 in-toto 證明，可用標準工具驗證。
• 支援先以僅報告模式（gate: false）啟動，之後再啟用閘門（gate: true）。

使用情境

• 管理 AI 編碼代理工作階段，強制使用經核准的模型並禁止提示詞中出現機密。
• 強制 CI/CD 管線合規：每個發佈都必須有 SBOM，測試必須通過，掃描必須乾淨。
• 收集簽名稽核證據以滿足合規要求，無需手動收集。
• 關閉驗證迴圈：代理根據管線中列印的政策失敗訊息修正工作。

快速開始

安裝 CLI 並登入： bash curl -sfL https://dl.chainloop.dev/cli/install.sh | bash -s -- --oss chainloop auth login 從 CI/CD 收集訊號： bash chainloop attestation init --workflow build --project my-app chainloop attestation add --value sbom.cyclonedx.json chainloop attestation push 對於 AI 編碼工作階段，請使用 chainloop trace。更多詳細資訊請參閱儲存庫 README。

授權與價格

採用 Apache 2.0 授權。CLI 和自行託管版本免費且無限制。Chainloop Cloud 提供 14 天免費試用。

內容整理自該專案公開的 README 與儲存庫資訊。