La scansione a livello di snippet è un metodo di analisi del codice che esamina direttamente piccoli frammenti di codice sorgente o compilato, invece di fidarsi solo di manifesti, elenchi di pacchetti o voci SBOM. Può individuare funzioni copiate, librerie incorporate, blocchi open source riutilizzati e, talvolta, codice generato da AI che è stato incollato in un progetto senza essere stato dichiarato formalmente.
Questo è importante perché le dipendenze dichiarate possono non rilevare codice che entra tramite copia e incolla, file vendorizzati, artefatti di build o output generato. Nel lavoro di sicurezza, ciò crea punti ciechi per il tracciamento delle vulnerabilità, la conformità alle licenze e la revisione della provenienza. I difensori usano la scansione a livello di snippet per verificare ciò che è realmente presente in un repository, in una build o in un binario, mentre gli attaccanti possono cercare di nascondere codice rischioso in punti che gli strumenti di inventario non ispezionano da vicino. Controllando il codice stesso, le organizzazioni ottengono un secondo livello di garanzia oltre ai metadati delle dipendenze.