引言

AI智能时代，软件定义万物，数字技术已逐渐成为支撑社会正常运转的基本元素之一。

随着开源软件在开发过程中的普及和大范围应用，开源事实上已成为数字技术开发的核心基础设施，混源开发也已成为主流的应用开发交付方式。软件供应链安全已被上升到基础设施安全和国家安全的高度。

工信部《“十四五”软件和信息技术服务业发展规划》指出：全球97%的软件开发者和99%企业使用开源软件，基础软件、工业软件、新兴平台软件大多基于开源，开源软件已成为软件产业创新源泉和“标准件库”。

一、开源应用带来的供应链安全挑战

数字应用的开源化，使软件供应链各环节都不可避免受到开源应用风险的影响。除开发者因疏忽导致的开源应用安全漏洞、代码缺陷和软件许可合规风险外，还存在其他安全威胁：

• 预留后门：具有非法目的的开发者故意预留的安全后门

• 供应链投毒：恶意攻击者伪造含有隐藏恶意功能的代码，上传到上游开源代码托管平台

上述安全问题导致软件供应链安全隐患大幅增加，安全形势更加严峻。

二、多模态SCA：开源供应链安全审查的技术架构

新一代开源数字供应链安全审查与治理方案，深度融合代码疫苗技术，构建了多模态SCA技术架构，覆盖源码、二进制、运行时、容器镜像等全场景。

技术架构全景

该架构包含五大核心分析引擎：

引擎	能力说明
组件成分分析	识别源码中引用的开源组件及其版本、漏洞、许可证
代码成分溯源	追溯代码片段来源，识别代码克隆与复用风险
制品成分二进制分析	对二进制制品进行拆解与成分识别
运行时成分动态追踪	在运行时动态发现真实加载的组件
容器镜像扫描	扫描容器镜像层中的软件包与依赖

快速扫描数字应用和容器镜像中存在的各类开源风险，并提供实时精准的数字供应链安全情报预警能力。

产品架构

三、核心技术能力解析

1. 组件依赖及风险检测

基于运行态代码级开源软件成分检测技术，深入分析引入开源组件的直接和间接依赖关系，形成可视化依赖图谱，进行许可证风险判定和漏洞风险关联分析。

2. 代码溯源分析

基于代码成分溯源引擎，通过智能同源分析算法和大数据指纹库，检测代码片段的相似度，分析源代码漏洞风险、许可证合规兼容风险以及源代码自研率。

3. 二进制制品检测

基于制品成分二进制分析引擎，在无法访问应用程序源代码时，可通过二进制程序溯源其所包含的开源代码库，分析漏洞风险、许可证风险和敏感信息风险。

4. 容器镜像检测

内置智能容器镜像检测引擎，通过扫描容器仓库内的镜像，发现开源组件漏洞、软件包漏洞、敏感信息等，及时排除打包镜像过程中可能引入的不安全因素。

5. 私服库安全控制

支持集成Sonatype Nexus、JFrog Artifactory等主流私服仓库，对风险组件进行入库出库拦截，实现引入来源控制。

6. SBOM检测与管理

支持对标准格式SPDX、SWID、CycloneDX的SBOM文件进行检测和导出，结合供应链情报进行实时精准的全局资产动态预警。

---

四、AI驱动：智能化的风险治理能力

AI自动化风险分析

基于LLM大模型，实现AI自动化分析开源许可证风险，帮助企业全面了解许可证法律合规问题。同时提供AI成分分析能力，快速检测AI生成代码，规避潜在安全风险。

开源组件风险分析

自动梳理组件资产，可视化展示依赖关系并关联组件漏洞影响范围，实时跟踪预警、及时回溯，为组件风险处置提供决策依据。

高效的风险处置流程

可无感接入企业原有DevOps流程，持续自动获取应用组件数据，治理存量和增量组件风险，并将检测结果提交至Bug管理系统，方便开发人员高效处置。

闭环修复方案

结合漏洞修复优先级，提供详细的漏洞修复过程指引。通过计算给出一次性修复最多问题的组件级别推荐修复版本，提高开发团队作业效率。

---

五、信创生态适配与供应链安全审查

在国产化替代背景下，开源供应链安全治理方案需要与国产主流信创环境实现兼容适配。

核心能力：

• 支撑与国产主流信创环境的兼容适配

• 提供一键数字应用供应链安全审查服务

• 确保信创应用快速符合相关监管要求

---

六、AI原生安全治理：从开源风险治理到主动免疫

多模态SCA技术的演进方向，正从静态的成分识别走向AI原生的主动安全治理。核心特征包括：

维度	演进方向
分析模式	从单一源码到多模态（源码+二进制+运行时）
风险判定	从全量推送到可达性分析+智能过滤
情报响应	从通用CVE到SBOM关联精准预警
修复方式	从人工研判到AI辅助修复建议
开发流程	从独立扫描到CI/CD原生集成

工欲善其事，必先利其器。在开源成为数字技术创新源泉的今天，多模态SCA技术与AI原生安全治理理念的结合，为企业构建覆盖全流程的软件供应链安全审查能力提供了可行路径。

---

七、结语

随着AI开发范式的深入落地，软件供应链安全治理将更加强调自动化、上下文感知与风险优先级判定。通过融合源码、二进制、镜像、运行时与情报能力的多模态SCA，结合代码疫苗与AI智能分析技术，构建面向AI原生时代的一体化安全审查体系，是应对日益复杂的开源风险与合规挑战的有效路径。

---

欢迎技术同行就软件供应链安全、多模态SCA技术演进、AI原生安全治理等方向交流探讨。