Go语言面临供应链投毒风险，提案#76485建议引入依赖冷却期，通过设置GOCOOLDOWN自动屏蔽发布不满15天的包，以降低攻击风险。MVS和SumDB提供基础防护，但开发者需谨慎，避免引入恶意依赖。