AI 时代软件供应链面临重大安全危机:机密泄露激增64%
发布时间:2025-04-01 18:36:14 | 责任编辑:字母汇 | 浏览量:20 次
近日,JFrog 公司发布了《2025年软件供应链现状报告》,揭示了在人工智能(AI)迅速发展的背景下,软件供应链所面临的严峻安全挑战。根据该报告,研究团队通过对1400多名专业人士的调研,以及来自7000多家客户的数据分析,勾勒出了一幅令人为之担忧的安全图景。
报告指出,过去一年中,软件供应链的安全漏洞急剧增加,其中 “秘密” 或机密信息的曝光案例同比增长了64%,总计达到了惊人的25,229例。这一数据表明,随着企业对机器学习(ML)模型的依赖加深,安全风险也在不断上升。尽管94% 的公司表示使用认证清单来管理 ML 模型,但其中37% 的公司仍依赖手动方式进行验证,显然这加大了安全隐患。
与此同时,2024年新增的安全漏洞(CVE)数量也高达33,000个,相比2023年增加了27%。令人担忧的是,只有12% 的 CVE 被证实真的具有 “严重” 级别,这或许反映出评分系统存在 “膨胀” 现象,可能导致开发者面临不必要的修复压力和工作疲惫。
JFrog 的首席技术官 Yoav Landman 指出,尽管许多组织在积极采用公共 ML 模型推动创新,但缺乏自动化的工具链和治理流程使得安全管理愈加复杂。他呼吁,企业在快速发展的 AI 环境中,应加速自动化转型,以确保在提升创新潜力的同时,也能保障软件的安全性。
整体来看,当前的软件供应链安全问题不仅是技术上的挑战,更是企业管理与运营方式的考验。在 AI 时代,建立更为严密的安全防护措施,已经成为各大企业亟需面对的任务。

AI时代的快速发展为软件供应链带来了前所未有的安全挑战,尤其是机密泄露风险激增64%。以下是当前软件供应链面临的主要安全危机及应对策略:
1. AI生成代码的隐蔽漏洞激增
- AI编程工具(如GitHub Copilot、Claude等)大幅提升开发效率,但生成的代码可能携带多重漏洞,如XXE注入、硬编码密钥、水平越权等。
- 攻击者利用AI自动化生成恶意代码,形成“漏洞军工厂”,例如诱导AI生成未加密的日志文件,导致金融数据泄露。
- 应对方案:采用AI驱动的代码审计工具(如腾讯“啄木鸟”团队方案),结合零信任机制,自动拦截敏感信息并动态过滤危险指令。
2. 开源组件与供应链投毒攻击
- 软件供应链依赖大量开源组件,攻击者通过污染开源库(如npm、PyPI)植入后门,影响下游企业。
- AI训练数据若被投毒,可能导致模型输出偏见或泄露敏感信息(如企业专有数据)。
- 应对方案:加强软件成分分析(SCA),采用AI辅助检测恶意依赖,并建立可信源验证机制。
3. 数据泄露与AI模型“裸奔”风险
- 近90%私有化部署的AI模型缺乏基本防护(如未设密码、未配置防火墙),导致训练数据、API密钥等核心资产暴露。
- 大模型在推理过程中可能泄露用户输入数据(如医疗记录、商业机密)。
- 应对方案:实施端到端加密,限制模型公网访问,并采用数据脱敏技术。
4. 人员与供应链内鬼威胁
- 内部员工或外包人员可能滥用AI工具,窃取代码或数据(如三星曾因员工泄密损失商业机密)。
- 应对方案:强化权限管理,结合AI行为分析监测异常操作,并定期进行安全培训。
5. 全球协作与动态治理
- 各国对AI安全治理标准不一(欧洲重合规、美国重发展、中国求平衡),需建立跨国协作机制。
- 企业需采用“敏捷安全”模式,平衡创新与风险,如vivo等厂商构建数据与业务双生命周期防护体系。
AI时代软件供应链的安全危机已从传统漏洞演变为系统性风险,需结合AI防御技术(如大模型安全审计)、严格供应链管理及全球治理框架,才能有效遏制机密泄露激增的趋势。
本网站(https://aigc.izzi.cn)刊载的所有内容,包括文字、图片、音频、视频等均在网上搜集。
访问者可将本网站提供的内容或服务用于个人学习、研究或欣赏,以及其他非商业性或非盈利性用途,但同时应遵守著作权法及其他相关法律的规定,不得侵犯本网站及相关权利人的合法权利。除此以外,将本网站任何内容或服务用于其他用途时,须征得本网站及相关权利人的书面许可,并支付报酬。
本网站内容原作者如不愿意在本网站刊登内容,请及时通知本站,予以删除。