捷蛙：2024年全球软件供应链发展报告

2024 JFrog 全球软件供应链发展报告简要总结

报告概述

这份报告显示了全球软件供应链的现状、风险与应对策略，强调了开源组件和开发工具的复杂性带来的潜在威胁。JFrog公司通过分析平台数据、安全研究和第三方调查，揭示了企业如何防范隐藏风险，并在AI时代提升安全性。主要内容包括供应链构成、高风险漏洞、企业安全实践、AI应用等，旨在帮助企业构建更安全的DevSecOps环境。

软件供应链的构成

软件开发团队常用的编程语言多样，约53%的企业使用4-9种语言，10多种语言的占31%。Docker和npm贡献了最多的软件包，PyPI和Go的使用因AI/ML兴起而增加。关键包类型如Maven、npm、Docker等在生产中占比最高，但新语言如Rust尚未成为主流。

隐藏风险与挑战

报告指出，2023年全球新增超过26万个CVE，许多漏洞难以利用或无关紧要。恶意软件包数量激增，例如npm中的恶意包增加了100%。此外，人为错误和配置不当是主要风险来源，如云存储错误导致数据泄露事件频发。

安全措施和实践

89%的企业采用OpenSSF或SLSA框架，安全扫描主要在编码、构建和运行时进行。企业平均使用4-9种安全工具，修复漏洞占用开发者四分之一的时间。AI/ML被90%企业用于辅助安全扫描，但仅限特定用途，限制造成效率低下。

AI 和 ML 的影响

AI工具在安全领域的应用日益广泛，帮助企业提高漏洞检测效率，但仍需谨慎防止恶意使用。报告建议将AI整合到SDLC中，并针对ML模型开发实施专门安全措施。

关键见解和建议

企业需简化审批流程、采用自动化工具，并加强对开源组件的上下文分析。AI虽能提升安全，但必须结合人工审查。报告强调，防范软件供应链风险需综合策略，包括持续监控和教育开发者。