SCANOSS Earnie 开源许可证合规平台
检测到代码片段级别的许可证义务，专治 AI 编码 Agent 无意识引入的合规风险
工具概览
工具定位、能力与使用指引
功能特点
- ✓ 检测粒度到代码片段，而不只是传统 SCA 能看到的声明依赖
- ✓ 同一套基于知识库的确定性检测同时覆盖开发者自己的提交、复制或 vendor 的代码，以及 AI Agent 引入的代码
- ✓ 通过 MCP 让编码 Agent 在添加依赖之前查询是否合规，实时返回通过、警告或需审核的指引
- ✓ 支持 CLI 与 pre-commit 检查、GitHub Actions 与 PR 检查，在每次合并请求上给出策略评论与通过/警告信号
- ✓ 自动生成署名与声明文件，并维护 CycloneDX / SPDX 格式的版本化 SBOM，可导出也可导入既有 SBOM
使用步骤
- 通过 MCP 把 Earnie 接入你的编码 Agent，让它在添加依赖前先查询策略
- 安装 CLI 并配置 pre-commit 钩子，在本机提交前完成许可证与义务检查
- 接入 GitHub Actions，让每个 PR 都收到策略评论与通过/警告信号
- 在 Earnie UI 中查看长期记录（发现、决策与证据），需要时导出 SBOM 或直接导入既有 SBOM 建立基线
常见问题
什么是 SCANOSS Earnie？
SCANOSS 于 2026 年 10 月 6 日在线上活动中公开发布的软件治理平台版本。官方把它定位为围绕有编号的 Release 持续运行的治理方案，而不是一次性扫描，理由是包含 AI 生成代码在内的代码变更速度已经超过人工评审速度。
它和传统 SCA 工具有什么区别？
传统 SCA 主要看声明的依赖，而 Earnie 的检测粒度是单个代码片段：开发者自己的提交、复制或 vendor 进来的代码，以及 AI Agent 引入的代码，都用同一套确定性、基于知识库的检测覆盖。
我的源码会被上传吗？
按官方说法不会。每个客户在各自隔离的环境中工作，源码留在客户侧，只有指纹与哈希会发送给 SCANOSS 用于匹配。
为什么需要专门针对 AI 编码 Agent？
官方解释是编码 Agent 既不记得公司的许可证策略，也没有意识到某段代码可能带来义务，更没有理由主动上报。当 Agent 每天产生数十次提交时，缺口就从单次违规变成规模化暴露。
它输出哪些文件？
Earnie 会为识别出的组件映射适用许可证及其义务，生成署名与声明文件，并维护开放标准（CycloneDX 与 SPDX）的版本化 SBOM，支持按需导出；已有的 CycloneDX 或 SPDX SBOM 也可以直接导入，不必从零重建清单。
现在可用吗？在哪了解更多？
官方称 Earnie 已可用，完整发布详情（包括 AI 治理与后量子密码就绪度覆盖范围）见 earnie.dev。