软件供应链安全
保护软件开发、构建、分发全生命周期免受恶意篡改和攻击的安全实践领域，涵盖开源依赖、包管理器、CI/CD流程等环节的安全防护
核心事实
时间轴 (近 90 天)
软件供应链安全强调从源码、构建、分发到安装的每一环都应可验证。
物料清单（BOM）是软件供应链安全中的概念，要求每个构建产物声明全部依赖项及版本，以便快速定位漏洞影响范围。
在软件供应链安全领域，签名只解决“来源可信”与“内容未被篡改”两个问题，并不保证代码本身无害。
软件供应链安全在Agent场景下面临新挑战，因为Agent可能动态生成代码、调用第三方工具或引入运行时依赖，这使得攻击面显著扩大。
在金融、政企、医疗等合规要求严格的场景中，安全团队通常要求所有可执行组件的更新必须经过签名校验、版本冻结或人工审批，禁止工具自行静默升级。
结合GPG签名与不可变发布机制可以在一定程度上防御针对发布环节的软件供应链攻击
GPG签名是一种基于非对称加密的数字签名机制，在GitHub的发布流程中，维护者使用私钥对发布产物进行签名，用户可以通过公钥验证签名的有效性
全部知识事实 (7)
GPG签名是一种基于非对称加密的数字签名机制，在GitHub的发布流程中，维护者使用私钥对发布产物进行签名，用户可以通过公钥验证签名的有效性
90%待验证软件供应链安全强调从源码、构建、分发到安装的每一环都应可验证。
50%待验证物料清单（BOM）是软件供应链安全中的概念，要求每个构建产物声明全部依赖项及版本，以便快速定位漏洞影响范围。
50%待验证在软件供应链安全领域，签名只解决“来源可信”与“内容未被篡改”两个问题，并不保证代码本身无害。
50%待验证软件供应链安全在Agent场景下面临新挑战，因为Agent可能动态生成代码、调用第三方工具或引入运行时依赖，这使得攻击面显著扩大。
50%待验证在金融、政企、医疗等合规要求严格的场景中，安全团队通常要求所有可执行组件的更新必须经过签名校验、版本冻结或人工审批，禁止工具自行静默升级。
50%待验证结合GPG签名与不可变发布机制可以在一定程度上防御针对发布环节的软件供应链攻击
50%