48页|2025年中国软件供应链安全分析报告
2026-03-26 15:01:45
《2025年中国软件供应链安全分析报告》核心内容显示，中国软件供应链安全面临开源项目活跃度分化、关键软件风险隐蔽、高危漏洞与协议并存、版本管理混乱及重点领域威胁突出等挑战，需从技术、管理、生态层面协同应对。
一、开源项目生态现状与风险活跃度分化显著近3/4的开源项目处于不活跃状态，而版本频繁更新的项目数量同比增长超1/3。这种分化导致部分项目长期缺乏维护，安全漏洞难以及时修复，而高频更新项目可能因迭代过快引入新风险。例如，部分项目仍使用20年前的老旧版本，存在已知漏洞未修复的隐患。
关键基础软件风险隐蔽关键基础开源软件数量达5485个，其中近90%从未公开披露过漏洞。这类软件虽未暴露已知漏洞，但因缺乏持续安全评估，运维过程中可能存在未知风险，尤其在依赖其核心功能的场景中，风险传导效应显著。
组件引入规模庞大企业在使用开源软件时，平均每个项目引入约168个组件，最流行的开源软件被38.6%的项目采用。组件数量多、依赖关系复杂导致攻击面扩大，单一组件漏洞可能引发连锁反应，威胁整个软件供应链安全。
高危漏洞与协议风险并存
漏洞风险：尽管各类已知漏洞检出率下降，但仍有部分项目存在高危漏洞，且四分之一的项目存在易利用漏洞。老旧版本软件因缺乏安全更新，成为攻击者重点目标。
许可协议风险：最常见协议被45.9%的项目采用，但超、高危协议（如GPL等限制性协议）出现在21.2%的项目中。协议冲突可能导致法律风险，甚至影响软件合规性。
旧版本长期使用近30年的旧版本仍在使用，导致安全维护成本高企。老旧版本可能因技术架构过时，无法兼容现代安全防护工具，且厂商已停止支持，漏洞修复依赖社区自发维护，效率低下。
版本更新策略缺失部分项目缺乏系统化的版本更新机制，更新频率与安全需求脱节。高频更新可能引入兼容性问题，而低频更新则导致漏洞积累，形成“更新恐惧症”与“安全惰性”的矛盾。
智能网联汽车第三方组件和开源框架的引入带来潜在威胁。例如，车载操作系统依赖的开源组件若存在漏洞，可能被远程利用，导致车辆控制权丧失。此外，供应链环节中的硬件与软件集成风险亦需关注。
大语言模型训练数据污染、模型架构缺陷及开源框架漏洞构成三重风险。攻击者可能通过注入恶意数据干扰模型输出，或利用框架漏洞实现模型窃取，对数据隐私与商业机密构成威胁。
- 技术层面：推广自动化漏洞扫描工具，建立组件依赖关系图谱，实现风险可视化；采用SBOM（软件物料清单）技术，提升供应链透明度。
- 管理层面：制定开源软件使用规范，明确组件引入标准与更新周期；建立许可协议审查机制，避免法律纠纷。
- 生态层面：鼓励开源社区活跃度，通过资金支持与政策引导提升项目维护质量；推动产学研合作，构建关键基础软件安全评估体系。
总结：2025年中国软件供应链安全呈现“隐蔽风险多、管理难度大、重点领域突出”的特征，需通过技术赋能、管理优化与生态共建，构建覆盖全生命周期的安全防护体系，以应对日益复杂的威胁环境。
热门标签
