AI 时代软件供应链面临重大安全危机：机密泄露激增64%
发布时间：2025-04-01 18:36:14 | 责任编辑：字母汇 | 浏览量：59 次
近日，JFrog 公司发布了《2025年软件供应链现状报告》，揭示了在人工智能（AI）迅速发展的背景下，软件供应链所面临的严峻安全挑战。根据该报告，研究团队通过对1400多名专业人士的调研，以及来自7000多家客户的数据分析，勾勒出了一幅令人为之担忧的安全图景。
报告指出，过去一年中，软件供应链的安全漏洞急剧增加，其中 “秘密” 或机密信息的曝光案例同比增长了64%，总计达到了惊人的25，229例。这一数据表明，随着企业对机器学习（ML）模型的依赖加深，安全风险也在不断上升。尽管94% 的公司表示使用认证清单来管理 ML 模型，但其中37% 的公司仍依赖手动方式进行验证，显然这加大了安全隐患。
与此同时，2024年新增的安全漏洞（CVE）数量也高达33，000个，相比2023年增加了27%。令人担忧的是，只有12% 的 CVE 被证实真的具有 “严重” 级别，这或许反映出评分系统存在 “膨胀” 现象，可能导致开发者面临不必要的修复压力和工作疲惫。
JFrog 的首席技术官 Yoav Landman 指出，尽管许多组织在积极采用公共 ML 模型推动创新，但缺乏自动化的工具链和治理流程使得安全管理愈加复杂。他呼吁，企业在快速发展的 AI 环境中，应加速自动化转型，以确保在提升创新潜力的同时，也能保障软件的安全性。
整体来看，当前的软件供应链安全问题不仅是技术上的挑战，更是企业管理与运营方式的考验。在 AI 时代，建立更为严密的安全防护措施，已经成为各大企业亟需面对的任务。
AI时代的快速发展为软件供应链带来了前所未有的安全挑战，尤其是机密泄露风险激增64%。以下是当前软件供应链面临的主要安全危机及应对策略：
1. AI生成代码的隐蔽漏洞激增
- AI编程工具（如GitHub Copilot、Claude等）大幅提升开发效率，但生成的代码可能携带多重漏洞，如XXE注入、硬编码密钥、水平越权等。
- 攻击者利用AI自动化生成恶意代码，形成“漏洞军工厂”，例如诱导AI生成未加密的日志文件，导致金融数据泄露。
- 应对方案：采用AI驱动的代码审计工具（如腾讯“啄木鸟”团队方案），结合零信任机制，自动拦截敏感信息并动态过滤危险指令。
2. 开源组件与供应链投毒攻击
- 软件供应链依赖大量开源组件，攻击者通过污染开源库（如npm、PyPI）植入后门，影响下游企业。
- AI训练数据若被投毒，可能导致模型输出偏见或泄露敏感信息（如企业专有数据）。
- 应对方案：加强软件成分分析（SCA），采用AI辅助检测恶意依赖，并建立可信源验证机制。
3. 数据泄露与AI模型“裸奔”风险
- 近90%私有化部署的AI模型缺乏基本防护（如未设密码、未配置防火墙），导致训练数据、API密钥等核心资产暴露。
- 大模型在推理过程中可能泄露用户输入数据（如医疗记录、商业机密）。
- 应对方案：实施端到端加密，限制模型公网访问，并采用数据脱敏技术。
4. 人员与供应链内鬼威胁
- 内部员工或外包人员可能滥用AI工具，窃取代码或数据（如三星曾因员工泄密损失商业机密）。
- 应对方案：强化权限管理，结合AI行为分析监测异常操作，并定期进行安全培训。
5. 全球协作与动态治理
- 各国对AI安全治理标准不一（欧洲重合规、美国重发展、中国求平衡），需建立跨国协作机制。
- 企业需采用“敏捷安全”模式，平衡创新与风险，如vivo等厂商构建数据与业务双生命周期防护体系。
AI时代软件供应链的安全危机已从传统漏洞演变为系统性风险，需结合AI防御技术（如大模型安全审计）、严格供应链管理及全球治理框架，才能有效遏制机密泄露激增的趋势。
本网站(https://aigc.izzi.cn)刊载的所有内容，包括文字、图片、音频、视频等均在网上搜集。
访问者可将本网站提供的内容或服务用于个人学习、研究或欣赏，以及其他非商业性或非盈利性用途，但同时应遵守著作权法及其他相关法律的规定，不得侵犯本网站及相关权利人的合法权利。除此以外，将本网站任何内容或服务用于其他用途时，须征得本网站及相关权利人的书面许可，并支付报酬。
本网站内容原作者如不愿意在本网站刊登内容，请及时通知本站，予以删除。
