软件供应链安全

13,500 个分支被植入窃密工作流：Gheist 如何用 GitHub 令牌搬走仓库密钥一句话看懂安全厂商披露的研究显示，一项代号 Gheist 的攻击活动自 2026 年 9 月 15 日起被追踪：攻击者使用窃取的 GitHub 访问令牌，在 13,500 多个分支上植入用于窃取密钥的 Actions 工作流，波及 850 多个账号，从个人项目到企业私有仓库均受影响；在企业环境中，同一批云凭证数小时后被用于枚举 AWS Secrets Manager。

龙智DevSecOps解决方案

JFrog供应链流量控制器架构解析：如何通过 SASE 集成阻断 AI 智能体的恶意依赖拉取？在软件供应链攻击日益猖獗的今天，恶意软件包正快速攀升。与此同时，AI代码智能体加速普及，给企业安全治理带来了全新挑战。

Akiyama_Mio-Kon

计算机每日时报（2026-09-04）：NVIDIA 押注开放模型平台，AI 走进天气、办公与本地电脑事件对行业意味着什么对普通人意味着什么确定性NVIDIA 拟收购 Hugging Face开放模型分发平台与算力巨头将深度结合

数字供应链安全产品选型

2025年Gartner中国安全技术成熟度曲线解读：软件供应链安全从“过热”到“落地”的演进之路Gartner自2022年起连续四年（2022-2025）在其《Hype Cycle for Security in China》报告中将软件成分分析（SCA）列为软件供应链安全的关键技术代表。随着Log4j、Spring4Shell等漏洞的爆发，以及国内《网络安全法》《关键信息基础设施安全保护条例》及信创供应链审查政策的推进，软件供应链安全经历了资本追捧、技术同质化竞争，再到理性落地的完整周期。本文基于Gartner 2025年最新曲线，深入剖析软件供应链安全在“过热期”之后进入“实质性生产 plate

安全测评-Sean

国内投毒情报厂商的技术演进与赛道卡位投毒情报已经从“漏洞情报的补充项”演变成国内软件供应链安全市场里的独立能力带。站在行业观察视角看，真正值得判断的不是谁先喊出投毒检测，而是谁能把投毒发现、影响面定位、研发拦截和应急处置做成一条连续链路。

安全测评-Sean

从漏洞噪声到治理闭环：软件供应链安全如何用可量化指标进入管理层决策要让软件供应链安全进入管理层决策，关键不是让漏洞数量更“好看”，而是用可量化指标证明治理闭环是否真正降低业务风险、缩短处置周期、减少复发成本。管理层关注的是投入产出与风险韧性，而非单点技术指标。

墨菲安全正式发布AI原生企业安全治理平台SGP过去20年，我们经常会听到大家讨论：企业安全部门/从业者长期面临着不出事不被重视、出事了又要背锅、推进安全治理的工作不被业务部门认可，久而久之安全从业者可能都开始怀疑很多工作是否真正有价值。

认识CycloneDXCycloneDX 是一个轻量级、标准化、开源免费的软件物料清单（Software Bill of Materials，简称 SBOM）规范，由 OWASP（开放式Web应用程序安全项目）主导开发和维护，是目前业界主流的SBOM标准之一。

SHA1HULUD蠕虫再现：超300NPM包被投毒、 2万仓库信息被窃取2025年11月24日，墨菲安全实验室检测到数小时内NPM仓库中超过300个组件被相同的方式投毒，这些包在NPM仓库中发布的新版本仿冒引入Bun运行时，引入 preinstall: node setup_bun.js，以及混淆的 bun_environment.js 文件。

NPM组件 betsson 等窃取主机敏感信息当用户安装受影响版本的 betsson 组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。

DevSecOps选型指南

2025软件供应链安全最佳实践︱证券DevSecOps下供应链与开源治理实践项目背景：近年来，云计算、AI人工智能、大数据等信息技术的不断发展、各行各业的信息电子化的步伐不断加快、信息化的水平不断提高，网络安全的风险不断累积，金融证券行业面临着越来越多的威胁挑战。特别是近年以来，开源生态的不断完善与发展，越来越多的企业引入了开源。对于金融证券行业而言，开源生态共建与安全威胁也呈现了“共生共存”的状态。同时，某某证券正在进行数字化转型能力建设，众多业务都在从传统开发到敏捷式开发转变，迭代速度的加快与发版周期的缩短带来了一系列安全问题：

棱镜七彩受邀出席“供应链安全国家标准贯标应用深度行”活动并做主题分享近日，“供应链安全国家标准贯标应用深度行”活动在北京顺利举办，此次活动汇聚了行业内的众多专家和企业代表，深入探讨了供应链安全国家标准的制定与实施路径。棱镜七彩副总裁黄浩东受邀出席，并发表了题为《国家标准实施路径下的企业供应链安全治理实践》的主题演讲。

棱镜七彩参加“融易行”产融对接南京站项目路演活动展示供应链安全创新成果近日，江苏省软件强链“融易行”产融对接南京站活动圆满举行，棱镜七彩作为江苏省重点软件企业受邀参加活动，并展示了公司在供应链安全与开源治理方面的创新成就。

软件供应链安全：如何防范潜在的攻击？来源：https://thehackernews.com/2024/06/practical-guidance-for-securing-your.html

供应链投毒预警 | 开源供应链投毒202402月报发布啦悬镜供应链安全情报中心通过持续监测全网主流开源软件仓库，结合程序动静态分析方式对潜在风险的开源组件包进行动态跟踪和捕获，发现大量的开源组件恶意包投毒攻击事件。在2024年2月份，悬镜供应链安全情报中心在NPM官方仓库（https://www.npmjs.com）和Pypi官方仓库（https://pypi.org）共捕获503个不同版本的恶意组件包，其中NPM仓库投毒占比89.46%， Pypi仓库投毒占比10.54%，NPM仓库依旧是开源组件包投毒的重灾区。

网安云的小运营

“软件定义汽车”时代下的软件供应链安全汽车是一个非常典型的强供应链行业，汽车制造依赖于众多供应商提供的软件组件，每个环节的质量都会直接影响最终产品的质量。

网安云的小运营

铁路关基保护新规发布！铁路软件供应链安全洞察与治理思路更多网络安全干货内容：点此获取———————近日，国家铁路局发布《铁路关键信息基础设施安全保护管理办法》，《办法》第十四条提到：

美国积极利用EPMM漏洞；TensorFlow易受投毒攻击；伊朗黑客伪装刺探；GitHub在暴露高危漏洞| 安全周报 0119美国网络安全和基础设施安全局（CISA）周四在其已知漏洞（KEV）目录中添加了一个现已修补的关键漏洞，该漏洞影响 Ivanti Endpoint Manager Mobile（EPMM）和 MobileIron Core，并表示该漏洞正在被积极利用。

立白科技集团：研发安全推动数字化蜕变，日化业务再上新高度立白科技集团成立于1994年，是我国日化行业的领军企业，致力于成为一家“品牌引领、数字经营、富有创新、富有活力”的智慧服务型企业。从2018年开始，立白科技集团加速数字化转型，打造数据和业务中台，并建立toB和toC平台，通过数字化平台分别赋能上下游合作商和消费者，提升业务价值。

我是有底线的