本刊记者 王 超

AI智能时代，软件定义万物，数字技术已逐渐成为支撑社会正常运转的最基本元素之一。随着软件开发过程中开源应用的日趋普及和大范围应用，开源应用事实上逐渐成为数字技术开发的核心基础设施，混源开发也已成为主流的数字应用开发交付方式，数字供应链的安全问题也已被上升到基础设施安全和国家安全的高度来对待。

数字应用开源化，导致影响数字供应链的各个环节都不可避免受到开源应用风险的影响。尤其是开源应用的安全性问题，将直接影响采用开源应用的相应数字供应链的安全。除了应用开发者因疏忽和不重视导致的开源应用安全漏洞、代码缺陷和软件许可合规风险，还可能存在其他安全风险，比如具有非法目的的开发者故意预留的开源应用安全后门，甚至还有恶意攻击者伪造的含有隐藏性恶意功能的异常行为代码被故意上传到上游开源代码托管平台，实施定向软件供应链投毒攻击等。上述开源应用中存在的众多安全问题，导致数字供应链的安全隐患大大增加，安全形势更加严峻。加快落地数字供应链安全治理工作迫在眉睫。企业亟须从各个层面建立数字供应链安全风险的多种能力，整体提升数字供应链安全管理的水平。

在近期举办的2023数字供应链安全大会（DSS 2023）中，悬镜安全创始人兼CEO、DSS大会执行主席子芽在业界首次讲述了数字供应链的新变化，定义数字供应链安全的新内涵，同时重点发布并解读中国首个数字供应链SBOM格式（DSDX）。……