网络安全和基础设施安全局（CISA）更新了软件物料清单（SBOM）的指导，强调SBOM应包含所有组件信息，包括依赖关系和配置文件。SBOM必须透明且完整，包含每个组件的许可证信息，以确保供应链安全。有效的SBOM可以快速识别系统受影响情况，避免风险。进行“嗅探测试”有助于验证SBOM的准确性，确保安全性。

中国AI公司如DeepSeek和智谱正在研发自研AI推理芯片，以降低成本和增强供应链安全。全球AI行业的“造芯潮”正在改变竞争格局，越来越多公司投入定制芯片研发，挑战英伟达的市场主导地位。自研芯片将提升算力效率，推动AI与半导体产业的深度融合。

吉夫·卢兹克负责GitHub的开源项目办公室，专注于开源许可证合规和软件供应链安全。埃里克·索伦森是GitHub的产品经理，专注于供应链安全。GitHub与联合国开发计划署合作，推动加纳的数字改革，探索开源治理的支持作用。同时，Git 2.55版本发布，介绍了新特性和变化。

亚历克西斯·威尔斯是GitHub的首席信息安全官，负责保护平台和开源社区，支持全球超过1.5亿开发者安全构建软件。她在国防部和网络安全局有20年经验，致力于公私合作解决安全挑战。GitHub推出了免费的代码安全风险评估工具，帮助用户快速识别代码漏洞，并提供开源供应链安全的预防措施。

1月27日，国家工业信息安全发展研究中心在北京召开高端工业软件生态创新发展会议，启动了「供应链安全号」，Gitee成为首批成员，推动工业软件安全体系建设。Gitee提供工具和平台支持开源组件服务，确保软件供应链的安全与合规。自2022年启动的「高端工业软件创新发展领航计划」已联合200余家单位，推动生态协同。

本期Python潮流周刊分享了12篇文章和开源项目，涵盖安全审计、供应链安全、Django内存修复及Python面向对象编程等主题，特别介绍了利用大模型寻找Python C扩展漏洞的研究，旨在提升技术水平和职业发展。

npm 推出了 Trusted Publishing 机制，基于 OpenID Connect，允许通过 CI/CD 工作流安全发布，降低长期 token 泄露风险。每次发布使用短期凭证，建议开源项目逐步迁移至此机制，以增强供应链安全。

Kyverno 1.17发布了稳定的CEL政策引擎，增强了多租户支持和供应链安全，改进了用户体验和文档结构，新增功能库支持复杂逻辑，政策类型升级至v1以提高性能，未来将专注于可持续性和社区建设。

.NET 虚拟单体存储库（VMR）是一种创新架构，旨在克服传统多仓库模式的缺陷。它通过虚拟化技术结合单体存储库的优势，提高了构建一致性和供应链安全性，支持跨平台开发，满足开源社区的需求，促进了.NET生态系统的高效协作与演进。

OpenCost项目在2025年取得显著进展，发布了11个版本，新增无Prometheus配置和实时成本查询等功能。项目注重社区指导，培养了多位优秀实习生，并积极参与KubeCon活动。未来将专注于数据模型改进、AI使用跟踪和供应链安全。

Emma Yuan Fang讨论了零信任原则在供应链安全中的应用，强调识别和减轻软件供应链攻击风险，如后门和依赖混淆。她建议在CI/CD管道中实施安全控制，确保代码和工件的完整性，并使用数字签名和版本锁定管理依赖关系。最后，她提供了开发者检查清单以增强供应链安全。

量子计算对传统公钥密码（如RSA、ECC）构成威胁，促使后量子密码学（PQC）的发展。PQC基于难解的数学问题，确保在量子计算机面前的安全性。NIST标准化过程中，格基密码学（如Kyber、Dilithium）成为主流，但面临性能和侧信道攻击的挑战。各国计划在2035年前完成PQC的迁移，强调密码的敏捷性和供应链安全。

Chainguard推出JavaScript库，重建数千个JavaScript依赖，以消除恶意软件风险。这一举措旨在应对近期的安全事件，帮助开发者避免因不安全依赖而遭受攻击。Chainguard直接从GitHub获取源代码，确保安全性，满足企业对供应链安全的需求。

自2020年以来，NuGet包下载量超过48亿，显示出.NET生态成功从Windows转型为开源跨平台。增长得益于技术突破、云原生适配和社区创新。未来需关注供应链安全和多端体验一致性。