software-supply-chain

论文首次基于 GitHub 全量 SKILL.md 的 git 历史构建了 AI 代理技能的复制网络，追踪 219 万次技能采用，发现少数仓库是几乎所有复制的源头、安全修复难以传播，并提出基于复制模型的审计排序方法以识别高风险技能仓库。

AIR，一家由前以色列情报官员创立的AI安全初创公司，已融资5000万美元，以开发一个平台，用于监控和保护企业中AI代理使用的工具、插件和附加组件。

安全研究员 Matt Burch 披露了 CryptoPro Secure Disk 软件中的九个漏洞，这些漏洞可能绕过加密，揭示了影响ATM及其他行业的软件供应链中的关键弱点。

这篇文章涵盖了一场在FOSSY会议上的演讲，解释了自举构建，该构建方法能够从最小可信源构建整个系统，以增强软件安全性和可重现性。

PyPI现在拒绝向超过14天的发布版本上传新文件，以防止供应链攻击，这是由Seth Larson宣布的一项主动安全措施。