pgAdmin 作者介绍了 pgbuild 项目：该项目为 Windows 和 macOS 编译 PostgreSQL 及其依赖（如 OpenSSL、Kerberos），供 pgAdmin 打包使用。此前依赖以可变的 -latest 标签发布，缺少校验和，导致供应链风险和构建不可复现。现在改为发布不可变版本并提供校验和，pgAdmin 通过锁文件固定 SHA-256，校验不匹配即失败，过期仅警告，从而保证依赖可追溯、构建可复现。

NuGet周下载量六周内从67亿增至80亿，提前半年达成预测，七年增长27倍。OpenTelemetry和.NET 10工作负载包表现突出，客户端7.9版本下载量翻倍。AI相关包占比超15%，增速最快但体量最小。同时恶意包激增，供应链安全需警惕。

GitHub Actions 使用浮动标签（如 @v4）存在供应链风险，标签可被移动以执行恶意代码。建议将 Action 固定到完整提交 SHA，验证 SHA 与发布标签一致，设置允许列表限制可用 Action，启用 Dependabot 自动更新并人工审查，在 PR 检查中强制 SHA 固定，并审查第三方 Action 权限。

博通推出TrueSource项目，为企业客户提供经过验证的开源软件仓库，收集超5000个依赖库，用AI扫描修复漏洞，应对供应链攻击。发现漏洞会提交上游，不绕过维护者，付费客户可直接使用安全版本，价格未公布。

以色列8200部队出身的Yair和Niv创立Air公司，为AI智能体构建供应链安全防线。智能体运行时引入技能、插件等却缺乏审查，风险巨大。Air曾演示恶意技能通过市场审核，并以SkillJacking控制13.4万智能体。现推出三款产品：Air Filter安装前审查、Air Defend运行时监控、Air Control策略管控，覆盖智能体插件全生命周期。红杉资本领投其种子轮并加注A轮。

npm 注册表遭蠕虫攻击，恶意包自更新并窃取凭证，已进化多代，最新变种利用合法签名管道绕过验证。攻击源于自动化发布和长期凭证，影响 npm 及 Terraform 等基础设施。防御需固定依赖版本、限制来源、使用短期凭证、控制网络出口，并视构建管道为关键基础设施。

文章聚焦容器镜像与AI模型供应链安全，指出扫描仅能发现已知漏洞，无法验证来源与完整性，而签名可提供主动溯源。亚马逊ECR推出托管签名功能，通过注册表自动签名、验证和强制策略，简化流程，防止恶意篡改，确保仅可信镜像运行。

2026年Node.js Interactive大会在RenderATL举行，聚焦开源维护者支持、运行时互操作性标准（如WinterTC）、供应链安全（如npm账户攻击与AI防御）、SemVer扩展、内置功能（如TypeScript、node:test）、QUIC进展、文档工具doc-kit及AI时代开发信任。强调社区协作与贡献，展望单年度发布节奏。

本文探讨云原生交付中的“影子AI”风险，即未经批准的AI工具或代理在软件生命周期中访问代码、密钥和云环境。文章按开发笔记本、源码控制、CI/CD、Kubernetes运行时等阶段进行威胁建模，并提出治理措施：为AI代理分配身份、最小权限、短期凭证，使用Kyverno、Falco、SPIFFE/SPIRE等CNCF工具加强策略、检测和供应链安全，强调人类审批和防御纵深，确保AI可控可审计。

GitHub高级工程经理Ankit Kumar Honey介绍如何优化Dependabot依赖更新工具，通过分组更新、降低频率和优先处理安全修复，减少大量拉取请求对仓库的干扰。文章还提及针对npm和GitHub Actions的供应链攻击防护改进，以及新增的三天冷却期，让维护者有时间处理安全发现后再发布版本更新。

该文章介绍了一种名为Supply Chain NRI Plugin的容器供应链验证工具，它通过Node Resource Interface在容器运行时层面同步验证镜像的SLSA、VEX和VSA证明，弥补了Kubernetes准入Webhook可被静态Pod或直接kubelet访问绕过的安全漏洞。插件支持分阶段部署、配置分离和故障处理，提供从观察到强制执行的渐进路径，作为纵深防御的第二层保障。

XZ后门事件中，0.5秒的发现细节虽戏剧化，但不应只关注英雄主义。真正危险的是攻击伪装成正常维护，依赖治理不能仅靠版本和漏洞扫描。团队应建立软件物料清单，明确组件来源和回滚方案，监控异常指标，将供应链安全视为运维能力，而非事后补救。

网络安全和基础设施安全局（CISA）更新了软件物料清单（SBOM）的指导，强调SBOM应包含所有组件信息，包括依赖关系和配置文件。SBOM必须透明且完整，包含每个组件的许可证信息，以确保供应链安全。有效的SBOM可以快速识别系统受影响情况，避免风险。进行“嗅探测试”有助于验证SBOM的准确性，确保安全性。

中国AI公司如DeepSeek和智谱正在研发自研AI推理芯片，以降低成本和增强供应链安全。全球AI行业的“造芯潮”正在改变竞争格局，越来越多公司投入定制芯片研发，挑战英伟达的市场主导地位。自研芯片将提升算力效率，推动AI与半导体产业的深度融合。

吉夫·卢兹克负责GitHub的开源项目办公室，专注于开源许可证合规和软件供应链安全。埃里克·索伦森是GitHub的产品经理，专注于供应链安全。GitHub与联合国开发计划署合作，推动加纳的数字改革，探索开源治理的支持作用。同时，Git 2.55版本发布，介绍了新特性和变化。

亚历克西斯·威尔斯是GitHub的首席信息安全官，负责保护平台和开源社区，支持全球超过1.5亿开发者安全构建软件。她在国防部和网络安全局有20年经验，致力于公私合作解决安全挑战。GitHub推出了免费的代码安全风险评估工具，帮助用户快速识别代码漏洞，并提供开源供应链安全的预防措施。

1月27日，国家工业信息安全发展研究中心在北京召开高端工业软件生态创新发展会议，启动了「供应链安全号」，Gitee成为首批成员，推动工业软件安全体系建设。Gitee提供工具和平台支持开源组件服务，确保软件供应链的安全与合规。自2022年启动的「高端工业软件创新发展领航计划」已联合200余家单位，推动生态协同。