引言

中国DevOps现状问卷调查已连续开展多届，本届调研由云计算开源产业联盟联合超60家企事业单位共同发起，覆盖互联网、科技、金融、电信、制造业、高校与研究机构等行业，累计收到6388份有效问卷，创历届数量新高。

本文基于调研数据，从技术实践视角梳理DevSecOps数字供应链安全领域的关键工具能力与应用现状，包括供应链安全情报、SCA开源软件安全、IAST灰盒安全测试、RASP运行时安全、DAST自动化渗透测试、SAST代码审计、应用安全大模型等方向，探讨AI原生安全治理在DevSecOps体系中的落地路径。

一、数字供应链安全情报预警服务

技术架构

依托供应链管理监测能力和AI安全大数据云端分析能力，数字供应链安全情报平台融合超100类渠道数据，结合策略、AI、专家体系化运营及风险评级模型，对全球数字供应链投毒情报、漏洞情报、停服断供情报进行实时动态监测与溯源分析。

核心能力

• 高级情报查询与订阅：企业级情报数据服务

• 可视化关联分析：精准预警“与我有关”的数字供应链安全情报

• 全阶段覆盖：支持安全开发、运维、采购、分发各阶段的情报需求

行业应用现状

据中国信息通信研究院调研数据，供应链安全情报服务在DevSecOps体系中的应用率持续提升，成为企业主动防御能力建设的重要基础设施。

供应链安全情报应用现状
（数据来源-中国信息通信研究院）

二、开源软件安全治理：多模态SCA技术

技术演进

多模态SCA平台作为新一代开源数字供应链安全审查与治理方案，深度融合代码疫苗技术，集成了三大核心引擎：

引擎	能力说明
代码成分溯源	识别代码克隆、引用关系与许可证合规
制品成分二进制分析	对二进制制品进行拆解与成分识别
运行时成分动态追踪	运行时发现真实加载的组件与依赖

全方位覆盖数字应用在开发、测试、采购和运营阶段涉及的第三方开源组件、多层依赖、代码克隆、开源许可协议、二进制制品、运行时应用等供应链安全风险。

开源SCA社区实践

全球首个开源数字供应链安全社区OpenSCA，通过软件码纹分析、依赖分析、特征分析、引用识别与开源许可合规分析等综合算法，深度挖掘开源供应链安全风险，智能梳理数字资产风险清单。结合SaaS云平台和实时供应链安全情报，为社区用户提供开源数字供应链安全解决方案。

相关SCA技术已连续多次被Gartner、Forrester等国际权威咨询机构评为SCA技术代表厂商；开源社区先后被评为Gitee-GVP最有价值开源项目和全球十大开源软件产品。

行业应用现状

据调研数据，开源软件安全工具在DevSecOps流水线中的部署率显著提升，多模态SCA正逐步替代传统静态SCA成为主流技术方向。

开源软件安全工具应用现状
（数据来源-中国信息通信研究院）

三、灰盒安全测试：IAST技术

核心技术能力

IAST灰盒安全测试平台通过全场景数据流量学习技术，包括：

• 运行时动态插桩（主动及被动）

• 终端流量代理/VPN

• 流量管家（主机流量嗅探、旁路流量镜像）

• Web日志学习、启发式爬虫

• AI渗透启发技术

有效覆盖95%以上中高危漏洞，透明接入研发测试流程，建立上线前研发自助式安全漏洞发现和修复流程。

技术优势

• 检测精度高于传统黑盒、白盒测试

• 与功能测试天然融合，无需额外测试用例

• 支持多语言、多框架、多容器环境

行业应用现状

据调研数据，IAST在DevSecOps体系中的应用率连续多年保持较高水平，是“安全左移”落地的关键技术工具。

IAST安全工具应用现状
（数据来源-中国信息通信研究院）

四、运行时安全：RASP自适应防御

核心理念：代码疫苗技术

RASP运行时安全平台基于智能情境感知的代码疫苗技术，通过以下关键技术实现：

• 专利级AI检测引擎

• 应用漏洞攻击免疫算法

• 运行时安全切面调度算法

• 纵深流量学习算法

将主动防御能力“注入”到业务应用中，借助应用上下文情景分析能力，捕捉并防御各种绕过流量检测的攻击方式，提供兼具业务透视和功能解耦的内生主动安全免疫能力。

与AI原生安全治理的关系

RASP是实现运行时情境感知与主动免疫的核心技术路径，是AI原生安全治理理念在运营阶段的关键落地。

行业应用现状

据调研数据，运行时安全工具在金融、互联网、政务等行业的部署规模持续增长，成为应用上线后防御体系的重要组成部分。

运行时安全工具应用现状
（数据来源-中国信息通信研究院）

五、自动化渗透测试：DAST技术

技术突破

自动化渗透测试平台在国内率先实现“AI+威胁模拟”，将白帽子在渗透测试中积累的实战经验转化为机器可存储、识别、处理的结构化经验，借助人工智能算法实现逻辑推理与自我优化。

以贴近人工渗透的方式，对给定目标进行从信息收集到漏洞利用的完整渗透过程，打破传统风险评估平台针对威胁利用的单一性和不连贯性缺陷。

核心价值

• 全方位检验现有安全防御措施的有效性

• 动态评估安全态势

• 弥补安全人员水平差异带来的效率短板

行业应用现状

据调研数据，DAST工具在攻防演练、合规审计、上线前验证等场景中的应用率稳步提升。

DAST安全工具应用现状
（数据来源-中国信息通信研究院）

六、静态代码审计：SAST技术

核心技术能力

基于AI多模智能引擎的静态代码安全扫描方案，提供三大核心能力：

能力	说明
源代码缺陷检测	识别代码中的安全缺陷与逻辑错误
源代码合规检测	满足编码规范与合规要求
源代码溯源检测	识别代码克隆与第三方引用

技术创新

• 基于AI大模型智能聚类分析，漏洞检测误报率可降至15%以下，漏报率降至13%以下

• 与SCA深度联动实现漏洞可达性分析，评估第三方组件的安全性

• 提供供应链安全审查与安全能力支撑

相关SAST技术入选国际权威咨询机构Forrester报告，获评SAST技术代表厂商。

行业应用现状

据调研数据，SAST工具在代码安全领域保持较高的市场应用率，是企业落地安全左移的基础工具之一。

代码安全工具应用现状
（数据来源-中国信息通信研究院）

七、应用安全大模型：AI原生能力

技术架构

应用安全大模型由大型语言模型和数字供应链安全情报数据中心联合提供支持，创新赋能DevSecOps数字供应链安全管理体系全线产品。

核心能力

• 智能误报分析：利用AI理解代码语义，降低误报率

• 漏洞智能关联分析：结合上下文提升异常行为和未知威胁的发现能力

• 智能检测AI代码成分：识别AI生成代码的安全风险

• 自动分析开源许可证风险

• 漏洞优先级排序

• 智能生成修复代码

• 数字供应链情报智能个性化推送

行业应用现状

据调研数据，安全大模型在DevSecOps领域的应用尚处于早期探索阶段，但在智能修复、误报分析等方向已展现出显著价值。

安全大模型使用现状
（数据来源-中国信息通信研究院）

八、DevSecOps数字供应链安全管理体系

基于上述关键技术工具，逐步形成了覆盖全流程数字供应链安全赋能平台 + 敏捷安全工具链 + 供应链安全情报预警服务的第三代DevSecOps数字供应链安全管理体系。

该体系将SCA、IAST、SAST、RASP等敏捷安全技术工具进行深度联动，在以下四大典型应用场景中落地：

应用场景	核心能力
DevSecOps敏捷安全体系建设	安全左移、CI/CD集成
数字供应链安全审查	SBOM、成分分析、漏洞可达性
开源供应链安全治理	多模态SCA、许可证合规
云原生安全体系建设	容器镜像、运行时防护

相关方案已在金融、车联网、能源、通信、政企、智能制造和泛互联网等数千家行业用户中落地应用。

---

九、结语：AI原生安全治理的技术演进方向

从调研数据可以看出，DevSecOps数字供应链安全工具正经历以下演进趋势：

1. 从单点工具到体系化联动：SCA、IAST、SAST、RASP等工具深度集成，形成统一安全治理能力

2. 从静态分析到多模态检测：源码+二进制+运行时+镜像的全覆盖

3. 从规则驱动到AI驱动：大模型赋能的误报分析、智能修复、情报关联

4. 从被动响应到主动免疫：代码疫苗技术使应用具备出厂默认安全能力

这正是AI原生安全治理的核心方向——通过AI技术实现安全能力的自动化、智能化、情境化，将安全内嵌于软件开发生命周期的每一个环节。

---

以上内容基于中国信息通信研究院调研数据及行业公开信息整理，欢迎技术同行就DevSecOps工具链建设、AI原生安全治理等方向交流探讨。