合规从来不是件让人兴奋的事。但对 B2B 企业来说，拿到 SOC 2 或 ISO 27001 认证几乎是生存刚需——大客户会直接问你有没有这些证书。过去几年，Vanta 和 Drata 这类 SaaS 工具帮了不少忙，但它们有两个问题：贵，而且你的数据全在别人服务器上。
现在有个叫 comp 的开源项目试图改变这个局面。它在 GitHub 上已经攒了 1600 多颗星，用 TypeScript 写的，自称是“AI 原生合规平台”。我花了一个周末把它跑起来试了试——说实话，比想象中靠谱。
它到底做了什么？
合规工作本质上就是三件事：证明你做了什么，记录下你做了什么，以及确保你一直这么做。comp 用 AI 来加速其中大部分流程。自动化证据收集 是它最亮眼的功能——通过连接你的 AWS、GCP、GitHub、Slack 等工具，它能持续抓取日志、配置、权限设置，然后自动匹配到对应的控制项。你不用再手动截图或导出 CSV 了。
另一个智能点是 策略引擎。它内置了常见框架（SOC 2、ISO 27001、HIPAA 等）的控制要求，然后根据你已有的基础设施状态，自动生成缺口分析报告。哪些控制已经满足，哪些需要人工介入，一目了然。AI 在这里的角色有点像“合规顾问”，但不是那种每小时收 500 美元的顾问。
还是得动手，但少了很多
当然，没什么魔法能让合规变成一键完成的事情。comp 毕竟是个开源平台，你得自己部署——它提供了 Docker 镜像和 Helm Chart，但如果你不懂 Kubernetes，可能会卡住。我建议至少有个 DevOps 同事帮忙。中间难度 不算夸张，但绝对不适合“克隆然后马上用”的场景。
一旦跑起来，日常维护的工作量就小多了。AI 会持续监控你的环境状态，一旦发现某个控制项失效（比如 S3 桶公开读取被打开了），它会立刻提醒。你可以直接在平台上创建工单，指派给负责人。整个过程对审计员来说也很清晰——它自动生成的时间线审计日志几乎可以直接拿来用。
对谁最有价值？
- 中型 SaaS 公司：年收入在 500 万到 5000 万美金之间，需要 SOC 2 但不想每年付 1.5 万美金给 Vanta。
- 关注数据主权的团队：金融科技、医疗健康等受严格监管的行业，希望所有合规数据留在自己的基础设施内。
- 开源拥护者：想根据自己的流程深度定制控制项和检查逻辑的团队。
comp 目前还缺一些企业级功能，比如多区域审计日志聚合和高级用户权限体系。GitHub 上的 Issues 里已经有人在催这些了。不过考虑到项目才起步，Roadmap 上也有这些计划，社区响应速度挺快。
一个务实的开始
如果你正在评估合规工具，我的建议是：先不要急着部署生产环境。用 Docker Compose 在本地跑一趟，把它的证据收集器和策略引擎过一遍。感受一下它跟你的技术栈匹配度。然后对比一下 Vanta/Drata 的报价——你会发现 comp 的“价格”只是你的服务器电费。对很多团队来说，这就够了。
评论
暂无评论
成为第一个评论的人