如何在不破坏构建的情况下验证 Policy-as-Code(即使代码由 AI 编写)

JFrog 论述「能随交付上线的治理」：把合规要求写成 OPA/Rego 策略即代码，取代电子表格、截图与人工证明，实现机器速度的持续合规；面对 EU CRA 最高 2.5% 全球营收的罚款，人工合规漂移已成生存风险。

JFrog 技术指南：在 AppTrust 中用 Open Policy Agent 的 Rego 把 NIST SSDF 要求写成策略即代码，自动校验 SBOM 证明、安全编码与构建来源等证据，让合规在原生的流水线中执行，而非依赖电子表格。

本文破除应用安全四大迷思：AppSec 团队可有可无、组织太小不需要、DevOps 模式不适用、安全会拖累交付。成功的应用安全之旅始于集中治理团队与缺陷发现机制，更安全的应用性能与质量也更佳。

JFrog 将其平台从开源与既有软件的单一事实来源扩展至智能体软件供应链：对每件制品与 AI 资产做验证，回答 SBOM/AIBOM、组件安全性以及「哪个智能体最后动过该发布」等问题。

AI 智能体提交人类未曾编写的代码、在流水线中不留痕迹，审计溯源愈发困难；JFrog AppTrust 推出 Prompt to Release Traceability，为每次发布自动汇集并签名 commits、PR、工单与审批记录。

JFrog AI Catalog 演进为面向智能体开发的 AI 控制平面：模型、skills、插件与 MCP server 作为原生制品统一纳管，策略在各处强制执行，确保智能体只消费经批准的 AI 资产。