AI 把攻击者变快以后，开源软件不能只等补丁

导读

AI 让攻击者更快找漏洞、串联攻击，软件团队怎样避免补丁还没打上，依赖链就先失守？Chainguard 的 Patrick Smyth 主张沿源码到交付的路径分工防守，把已知漏洞与故意植入的恶意内容分开处理。前者需要基础组件持续更新、精简镜像和缩短修复周期；新发布的恶意包则需要观察期，而且生产环境的规定也要覆盖开发者电脑和构建流水线。针对源码之后的构建与分发环节可能被篡改，Chainguard 取上游源码在自己的系统里重建，再扫描、签名，让下一站核验来源。第三方 Agent 技能同样先经过确定性规则和 Agent 参与的检查，才交给用户。Smyth 还建议团队完成容器化、集中管理基础镜像，让更新、取包和验签有人负责，而不是只把一份漏洞清单交给应用工程师。