software supply chain
PulseAugur coverage of software supply chain — every cluster mentioning software supply chain across labs, papers, and developer communities, ranked by signal.
3 天有情绪数据
-
ATM 安全漏洞暴露软件供应链风险；游戏开发商放弃 AI
一位安全研究人员发现了 ATM 加密和身份验证软件中的九个漏洞，凸显了软件供应链中更广泛的问题。另外，游戏《1666: Amsterdam》的开发者宣布决定停止在开发过程中使用 AI，并表示该技术仅在构思和预制作阶段使用。
-
扫描 9,248 个 MCP 服务器：揭示广泛的安全漏洞和信任缺失
对 9,248 个 Model Context Protocol (MCP) 服务器进行的安全性审计揭示了重大的漏洞和最佳实践的缺失。审计发现，0.3% 的服务器试图访问敏感文件，11% 表现出未记录的网络流量，23% 声明了不存在的工具。此外，64% 缺乏可识别的发布者，89% 未提供软件物料清单 (SBOM)，许多“零问题”的服务器用户很少或没有用户，这表明缺乏积极维护。这些发现突显了 MCP 生态系统中的“狂野西部”环境，敦促用…
-
LLM 幻觉软件包，构成供应链风险；评估防御措施
研究人员正在调查大型语言模型（LLM）在生成代码时幻觉出不存在的软件包的问题。此问题通过制造可利用的漏洞，对软件供应链构成风险。研究评估了各种防御机制，包括引导解码策略、自我完善和检索增强生成（RAG），以减轻这些幻觉。研究结果表明，虽然 RAG 可以降低幻觉率，但其在不同模型和语言上的有效性各不相同，并且必须将其与生成代码的效用进行权衡。此外，对抗性提示会显著增加幻觉率，这凸显了需要强大的防御措施来应对积极敌对的输入。
-
CISA 强制执行新的 SBOM 规则以揭露风险软件
美国网络安全和基础设施安全局 (CISA) 正在更新其对软件物料清单 (SBOM) 的要求。该举措旨在提高透明度并识别可能带来安全风险的软件组件。新法规预计将改善软件供应链的整体安全状况。
-
攻击者可轻松将后门注入AI模型，威胁软件供应链安全
安全专家展示了一种攻击者可以轻松插入隐藏后门到AI模型中的方法。这种漏洞对软件供应链构成了重大风险，可能危及AI系统的完整性和安全性。
-
行业滥用“CBOM”一词，将透明度负担转嫁给买家
ISARA Corporation首席执行官Atsushi Yamada表示，行业内“加密物料清单”（CBOM）一词被滥用。Yamada认为，真正的物料清单是制造商对其产品内含物的声明，类似于软件物料清单（SBOM）。目前许多提供“CBOM”的平台实际上提供的是第三方扫描仪生成的加密清单，这些清单只能识别可观察到的组件，而无法完全披露内部加密元素。这种错误标记允许供应商逃避披露其产品加密构成，将透明度负担转嫁给买家的工具。
-
新的 CBOM 规范旨在为 LLM 提示带来类似 SBOM 的可追溯性
作者提出了上下文物料清单 (CBOM)，这是一个开放规范和 SDK，旨在解决输入到大型语言模型的数据缺乏可审计溯源性问题。类似于用于软件供应链安全的软件物料清单 (SBOM)，CBOM 为每个提示提供一个清单，详细说明检索数据的来源、内容哈希、转换和敏感性。这旨在提高透明度，帮助调试提示注入等问题，并满足欧盟人工智能法案的记录保存义务等监管要求。
-
新框架绘制大语言模型智能体技能依赖性和风险图谱
一项新的研究论文介绍了智能体技能供应链（ASSCs），以应对大型语言模型（LLM）智能体技能中管理依赖性和风险的挑战。该框架借鉴了软件物料清单（SBOMs）的理念，使用一个名为SkillDepAnalyzer的工具将技能建模为具有依赖性的构件。对超过143万个技能的分析揭示了这些依赖性图谱中常见的结构模式、集中的重用以及隐藏的安全风险。
-
新框架为代理式AI系统自动化咨询
研究人员开发了一个用于自动化代理式AI系统咨询的框架，重点关注确定性环境捕获和运行时遥测。这个AIBOM驱动的CSAF-VEX系统根据声明的工件、观察到的条件和强制执行的策略计算可利用性。该框架从静态和运行时证据生成加密签名的咨询，并通过确定性回放进行验证，并在具有数千个组件的合成AI工作负载上进行了评估。
-
人工智能物料清单（AIBOMs）有望成为产品采购要求
人工智能物料清单（AIBOMs）的概念正在获得关注，作为确保人工智能产品透明度和问责制的一种方式。预计这些AIBOMs将成为产品采购的要求，类似于目前使用的软件物料清单（SBOMs）。建议首席信息安全官（CISOs）为这种新兴的代理AI标准做好准备。
-
G7国家发布AI软件供应链指南
G7国家发布了关于AI软件供应链描述的指南，即SBOM。该举措旨在提高分发AI软件的公司的透明度和安全性。
-
在影子AI的担忧下，公司采用AI-BOMs来追踪模型、数据集和代理
软件物料清单（SBOM）的概念正在演变，以应对企业中AI集成的复杂性，从而催生了AI物料清单（AI-BOMs）。这些AI-BOMs旨在提供对AI资产的全面可见性，包括模型、数据集、框架和代理，以及它们在组织工作流程中的交互。思科已开源其AI-BOM工具和模型溯源套件，该套件就像AI模型的“DNA测试”，用于追踪其来源并确保已部署AI系统的完整性。