赛迪译丛2025年第4期（总第679期）_给CISA主任的报告_开源安全-加水印_28页_1mb

报告总结

主要主题

美国网络安全和基础设施安全局（CISA）发布的《给CISA主任的报告：开源安全》强调了开源软件在政府、关键基础设施和公共生活中的广泛应用及其安全风险。包括供应链攻击、软件缺陷等问题，需要通过规范消费、责任分配和工具应用来缓解。

核心问题

• 开源软件消费缺乏明确责任和规范，主要源于社区驱动的价值观与法律合同驱动的商业模式脱节。
• 政府、商业公司和开源社区需协调，提高安全标准以应对漏洞风险。
• 人工智能系统开放性不足，存在透明度和可审计性挑战。

关键建议

• CISA应制定开源消费指导文件，推广SBOM和SLSA等工具，以提高软件安全和供应链管理。
• 支持管理员角色和自动化模板，引导商业公司承担更多责任。
• 鼓励开源AI的透明度，包括记录数据来源和模型权重，以提升可审计性和可重现性。
• 各级政府和企业应实施采购指南和感知项目，促进开源安全规范的采用。

此外，报告呼吁国际标准化和更多研究，以实现开源安全的长期结构化变革。