關於 Veriom
About
Veriom 是什麼
Veriom 是給安全與工程團隊使用的架構智慧平台。它從儲存庫、雲端帳號、CI/CD 流程、掃描器與上傳檔案收集證據，再整合成單一系統模型：服務、資料存放區、身分、網路路徑，以及彼此之間的關係。
它跟架構圖最大的差別在於來源。模型裡每個重要實體與關係都能帶上出處、觀測時間、信心程度、互相矛盾之處與變更歷史。點開一個服務，你會看到是哪個提交定義了它、哪次雲端盤點觀測到它，以及哪兩份來源說法不一致。這就是官方所說的證據導向架構。
產品目前是封閉測試。必須填表申請，價格沒有公開。它鎖定的是已經在用掃描器的團隊，而不是正在找第一套安全工具的人。
開始使用
- 在 Veriom 官網申請存取權，並預約一次初步通話。目前是由官方開通工作區，沒有自助註冊。
- 連接儲存庫。GitHub、GitLab 與 Bitbucket 都必須逐一挑選專案，稽核憑證只有讀取權限。
- 安裝 AWS、Azure 或 Google Cloud 的託管收集器，讓盤點資料綁定帳號送進來，同時附上涵蓋範圍與資料新舊。
- 執行一次架構稽核，打開找到的問題，沿著證據追回源頭。接著可以產出報告，或建立待人工核准的修正 pull request。
產品資訊
快速了解 Veriom 的定價、支援平台與效能。
適合對象
這項工具最適合的使用者、任務與情境。
使用者
- 安全架構師：拿到的模型會標明出處，軟體架構安全的工作就從追舊圖變成讀證據。
- 應用安全工程師：找到的問題附帶可達範圍與信任邊界的脈絡，處理速度比面對一堆沒有背景的掃描結果快得多。
- 平台與基礎架構團隊：程式碼與雲端資料放在同一處，回答某次變更碰到哪些東西時，不必開四個主控台。
- AI 工程主管：範圍受限的 MCP 閘道只給代理有限的架構脈絡，而不是整份原始碼，AI 架構安全的審查因此被框在明確界線內。
任務
- 變更影響分析：指到某個提交或 pull request，就能看出影響了哪些服務、身分與網路路徑。
- 信任邊界與影響範圍問題：從對外開放的端點一路追到資料存放區，每一跳都對照證據確認。
- 結構弱點審查：找出雖然能運作、卻開放過多可達路徑或共用太多身分的架構。
- 報告與修正準備：整理一份有證據支撐的說明，再把修正送進核准流程，而不是直接推程式碼。
情境
- 每季一次的安全架構審查快到了，現有架構圖卻是兩年前的：Veriom 在開會前用儲存庫與雲端證據重建現況。
- 掃描器在服務深處標出一個相依套件：團隊先確認受影響路徑真的能從公開入口到達，再決定要不要花一整個衝刺處理。
- 內部代理需要回答架構問題：它用最小範圍呼叫 MCP 閘道，回傳附上引用的答案，而不是憑檔名猜測。
主要功能
帶出處的證據圖
每個重要實體與關係都記錄來源、觀測時間、信心程度，以及哪份來源與它衝突。架構上的說法因此可以被查證。兩份來源對不上時，衝突會留在畫面上，不會被平均掉。
程式碼與雲端整合進同一模型
Veriom 讀取 GitHub、GitLab 與 Bitbucket 的儲存庫，也讀 AWS、Azure 與 Google Cloud 的盤點資料。程式碼存取只有唯讀權限，專案由你明確挑選，每次的實際版本都會附在證據上。雲端收集器會回報涵蓋範圍與資料新舊，你能判斷目前的畫面是否缺了一塊。
變更影響與信任邊界
模型可以回答路徑問題：這次變更碰到什麼、哪些身分能到達那個資料存放區、公開端點會通往哪裡。答案附帶證據編號，不只是文字描述。這一點讓它與靜態繪圖工具分開，因為程式碼一動，同一個問題就能重新問一次。
合併前的確定性檢查
架構檢查可以在 GitHub、GitLab 與 Bitbucket 上針對特定提交執行。同一批證據永遠產生同一個結果，而且檢查本身沒有寫入儲存庫的權限。團隊能在合併前擋下結構性退化，又不必把提交權限交給代理。
給代理與開發者的介面
型別化的 OpenAPI 3.1 介面契約、範圍受限的工作區權杖、結構化錯誤、速率限制標頭，以及走 HTTP 的 MCP 閘道，讓平台可以直接從程式碼呼叫。代理的每份產出都是型別化產物，帶有證據編號、信心程度與決策紀錄。官方 CLI 提供 doctor、scopes、openapi 與受限制的 request 指令。
人工核准的修正流程
Veriom 會起草報告與修正 pull request，兩者都必須由人核准。pull request 永遠不會自動合併。建立工單、分派負責人與申請政策例外，各自需要對應能力的授權，還要由另一位人員核准，因此每個有後果的動作都留下紀錄。
優缺點
優點
- 出處與信心直接長在模型上，架構說法可以查核，不必憑信任接受。
- 儲存庫程式碼被當成不受信任的輸入，稽核不會執行建置、測試、掛鉤或套件腳本。
- API、CLI 與 MCP 閘道讓內部代理接得上線，又不必把整份原始碼開放給它。
- 修正流程卡在人工核准之後，工單與政策例外還需要另外一層授權。
缺點
- 目前是封閉測試，沒有公開價格，也沒有自助免費方案，評估成本得先跟業務談。
- Veriom 整理掃描器的證據，但不取代你的掃描器，原本沒有工具的人等於多一筆支出。
- 知識連接器與支援 MCP 的工作區代理仍在開發清單上，部分整合還得等。
- 成果取決於你接進多少證據，儲存庫或雲端只接一半，畫面也只會有一半。
常見問題
它用儲存庫、雲端、CI/CD、掃描器與上傳檔案的證據，建立並維護一份系統架構模型。模型裡每一塊都能顯示出處、觀測時間與信心程度，審查時查的是資料本身，不是一張架構圖。
相關內容
探索與 Veriom 相關的工具、技能與文章。
Veriom 替代方案
Base Code
Base44 (Wix) · 程式設計 · 生產力Base Code 是 Base44 推出的共享雲端開發環境。團隊在對話中描述對既有 GitHub 儲存庫的修改，看著預覽確認結果，再以 Pull Request 交回工程團隊。
Google EmbeddingGemma 2
Google DeepMind · 寫作 · 圖片 · 程式設計Google EmbeddingGemma 2 是 7.4 億參數的開源模型，能把文字、程式碼、圖片、音訊與影片畫面轉成同一個 768 維空間裡的向量，在手機與筆電上就能執行。
GitGlow
GitGlow · 程式設計 · 生產力GitGlow 是桌面版 Git 用戶端，把你自己的程式碼與 AI 代理程式的變更集中在同一份審查裡，讓你在交付前看清楚機器上究竟要送出什麼。