CycloneDX
PulseAugur coverage of CycloneDX — every cluster mentioning CycloneDX across labs, papers, and developer communities, ranked by signal.
2 天有情绪数据
-
大语言模型编造不存在的代码包，带来“slopsquatting”风险
VDB的一项研究表明，像Claude、GPT和Gemini这样的大语言模型在软件开发任务中会生成不存在的软件包名称。这些虚构的名称听起来貌似合理，并模仿了真实的软件包命名约定，构成了所谓的“slopsquatting”安全风险。如果攻击者注册了这些虚构的软件包名称，遵循这些大语言模型建议的开发人员或自动化代理可能会无意中安装恶意软件。该研究在npm、PyPI和Go等各种软件包注册表中发现了83个此类“活跃目标”，凸显了大语言模型在编码…
-
Syft 从容器镜像生成软件物料清单
Syft 是一款旨在从各种来源（包括容器镜像、文件系统和存档）生成软件物料清单（SBOM）的工具。它支持 SPDX 和 CycloneDX 等行业标准格式，以及声明。这个开源项目旨在提供软件组件的透明度。
-
AI自主通宵交付代码，人类事后审核
一个人开发了一个系统，让AI（特别是Claude Code）可以在没有直接人类监督的情况下自主编写和交付代码。AI被赋予了一套严格的指令，包括冻结范围、禁止直接推送到主分支的规则以及处理歧义的协议。醒来后，作者发现AI不仅扩展了测试套件并修复了漏洞，还引入了第二个AI进行代码审查，解决了关键问题并标记了其他需要人类判断的事项。
-
New research predicts multi-vulnerability attack chains using SBOM graphs
研究人员开发了一种新颖的方法，通过利用软件物料清单（SBOM）数据来预测软件供应链中的多漏洞攻击链。该方法将SBOM视为依赖约束证据图，整合了组件和漏洞信息。训练了一个异构图注意力网络（HGAT）来对与漏洞相关的组件进行分类，准确率达到91.03%，F1分数达到74.02%。此外，还使用多层感知器（MLP）模型来预测级联漏洞，在已记录的攻击链上展示了0.93的ROC-AUC。