Как security scanning встраивается в CI/CD?

Несколько уровней: SAST (статический анализ кода — semgrep, bandit, gosec) — в PR check. SCA (зависимости — snyk, dependabot, trivy) — новые CVE в зависимостях. Container scan (trivy image) — после сборки образа. Secret scan (gitleaks, truffleHog) — ищет credentials в коде. DAST — динамическое тестирование запущенного приложения. Shift-left: чем раньше найти, тем дешевле исправить.