软件供应链
软件从开发、构建、测试到交付的完整链条，包括第三方组件、开源库、构建系统等各环节，是网络安全领域的重要关注点
核心事实
时间轴 (近 90 天)
Wiz CTO认为问题不在于单次漏洞的破坏力，而在于软件供应链的脆弱性正在被规模化利用。
广告技术栈被视为类似软件供应链的新型攻击面，攻击者只需在链条任一环节替换或注入恶意素材，即可实现对海量站点的一对多投毒
自更新（auto-update）机制改变了软件供应链的信任模型：传统软件信任建立在具体版本之上，而自更新组件会在后台从远端拉取新版本并原地替换自己，中间没有重新征求用户同意。
自我更新的进程会在运行时主动从远端拉取新代码并执行，若更新路径被劫持或上游被投毒，本地环境会在无人工审核的情况下执行不受信任的代码，属于软件供应链风险的高发点。
对依赖的信任降低了协作成本但累积了系统性风险，供应链安全事件是集体不想知道细节所付出的代价
现代软件项目平均依赖数百乃至数千个第三方包，其中绝大多数未经正式安全审计
泄露的凭证和软件供应链是并将继续是攻击的最小阻力路径
随着云厂商专有高级抽象能力被开源和标准化，云厂商差异化会更多回归到性能、稳定性、价格和服务质量本身
全部知识事实 (8)
随着云厂商专有高级抽象能力被开源和标准化，云厂商差异化会更多回归到性能、稳定性、价格和服务质量本身
65%待验证Wiz CTO认为问题不在于单次漏洞的破坏力，而在于软件供应链的脆弱性正在被规模化利用。
50%待验证广告技术栈被视为类似软件供应链的新型攻击面，攻击者只需在链条任一环节替换或注入恶意素材，即可实现对海量站点的一对多投毒
50%待验证自更新（auto-update）机制改变了软件供应链的信任模型：传统软件信任建立在具体版本之上，而自更新组件会在后台从远端拉取新版本并原地替换自己，中间没有重新征求用户同意。
50%待验证自我更新的进程会在运行时主动从远端拉取新代码并执行，若更新路径被劫持或上游被投毒，本地环境会在无人工审核的情况下执行不受信任的代码，属于软件供应链风险的高发点。
50%待验证现代软件项目平均依赖数百乃至数千个第三方包，其中绝大多数未经正式安全审计
50%待验证对依赖的信任降低了协作成本但累积了系统性风险，供应链安全事件是集体不想知道细节所付出的代价
50%待验证泄露的凭证和软件供应链是并将继续是攻击的最小阻力路径
50%