网络安全和基础设施安全局（CISA）更新了软件物料清单（SBOM）的指导，强调SBOM应包含所有组件信息，包括依赖关系和配置文件。SBOM必须透明且完整，包含每个组件的许可证信息，以确保供应链安全。有效的SBOM可以快速识别系统受影响情况，避免风险。进行“嗅探测试”有助于验证SBOM的准确性，确保安全性。

随着云原生生态系统的发展，软件材料清单（SBOM）变得至关重要。Docker推出的安全加固镜像提供超过200个开源软件包，帮助用户自动修复安全漏洞。DHI镜像相比传统镜像减少了96%的漏洞，支持企业定制和延长生命周期，确保软件安全和合规。

政府更新的软件材料清单(SBOM)指导意见已发布，强调SBOM需更加清晰和详细。新草案增加了组件哈希和许可证等字段，以提升安全性。监管推动SBOM的普及，尤其受到欧盟网络韧性法案的影响。

Python程序员Seth Michael Larson被Python软件基金会聘为安全开发者，专注于解决隐形依赖问题。隐形依赖是指未在清单中声明的代码，导致漏洞扫描器无法识别。Larson推动PEP 770，以改善Python包的依赖管理，并提倡使用软件材料清单（SBOM）来记录所有组件和依赖，帮助识别潜在漏洞。

CNCF安全技术咨询组发布的供应链安全最佳实践指南在2025年变得更加重要。2023年，供应链漏洞造成超过450亿美元损失，预计到2026年将超过800亿美元。8月25日，John Kjell将在阿姆斯特丹的开放源代码峰会上介绍更新的指南，强调SBOM和认证的重要性，以及公共部门软件安全的挑战与解决方案。

cargo-auditable 现已支持原生 SBOM 功能，可嵌入依赖项列表以检查漏洞。版本 0.7 加强了对 SBOM 的支持，促进了稳定化。dep_graph_rs 可视化 Rust crate 依赖关系，使用简单。文章探讨了绕过 Rust specialization 的方法，最终采用函数指针。Furnace 是高性能机器学习推理服务器，支持 ONNX 模型。GCCRS 项目进展顺利，合并了多个请求，未来将支持更多特性。

本文探讨了软件供应链安全的未来，讨论人工智能是否会取代传统的SBOM工具，并邀请读者分享看法和建议。

尽管DevOps已广泛应用，2025年审计失败仍频繁，主要问题包括缺乏软件材料清单（SBOM）、未加密的秘密、缺乏安全政策、AI代码追踪不足及合规框架不明确。解决方案包括使用SBOM工具、密钥管理、集成安全门控及建立合规检查清单，以确保CI/CD管道符合审计要求。

在云原生环境中，保护Java应用不仅要关注代码，还需关注整个容器栈。尽管Java安全性较高，但如Log4Shell事件所示，保持警惕至关重要。调查发现，几乎所有Java基础镜像均存在多个漏洞，唯有Chainguard的JRE基础镜像无漏洞。建议使用Chainguard或Amazon Corretto作为基础镜像，并通过生成和扫描软件材料清单(SBOM)提前发现漏洞。

Docker Scout是一个集成于Docker Desktop和CLI的容器镜像扫描工具，帮助开发者在构建镜像时发现漏洞。它通过软件材料清单(SBOM)和多个数据库进行实时分析，并与Azure容器注册表(ACR)集成，用户可扫描镜像并获取漏洞信息。配置包括创建ACR、生成令牌、推送镜像及启用集成，扫描后可查看并修复漏洞。

软件材料清单（SBOM）列出构建软件所用的所有组件，包括开源和专有软件。SBOM 有助于确保组件及时更新、快速应对漏洞，并便于风险管理。随着网络安全事件的增加，政府要求使用 SBOM 以提升软件安全性。

在网络安全威胁日益严重的背景下，软件供应链成为攻击的重点。GUAC和SBOM是两种重要工具，能够实时可视化和提供详细数据，帮助企业识别漏洞、管理风险，确保软件生态系统的安全与合规。GUAC通过动态依赖图展示组件关系，而SBOM提供组件清单，二者结合提升了供应链的透明度和响应速度。

PEP 770 提出了在 Python 包中使用软件物料清单（SBOM），以提高可测量性并解决“幽灵依赖”问题。该提案允许在 .dist-info 目录下添加 SBOM 文件，支持多种标准，满足安全法规需求，促进开源项目的透明度和可维护性。

2023年是开源软件的重要一年，Rust在Linux内核中的应用逐渐普及，jj和uv等新工具有望改变开发方式。尽管SBOM、Fair Source和服务器端Wasm面临挑战，开源生态系统依然活跃，未来将继续推动技术发展。

LibTracker是一个VSCode扩展，旨在简化软件材料管理。新版本支持Analog.js框架，改进了导航和依赖管理，并提供版本选择和CRUD功能。未来将增加排序选项、团队协作和AI推荐等功能，以提升用户体验。