ZONE.CI 全球网

安恒信息推出明鉴纵深风险检测系统，以AI灰盒技术为核心，在不依赖源码和修改程序的前提下，通过二进制分析与代码语义恢复解析程序内部逻辑，构建软件资产视图与SBOM，结合风险研判与攻击路径推演，输出完整风险视图与处置优先级，推动安全检测从外部观察走向软件内部纵深分析，应对软件供应链安全审查难题。

该文档为OWASP广东分会举办的CRA合规线下沙龙回顾，聚焦欧盟网络弹性法案落地实践。多位专家从法条解读、SDLC落地、SBOM与漏洞管理、检测证据链及工具链提效等维度展开分享，强调CRA合规需从结果合规转向过程合规，企业应建立可追溯证据链并持续运营，而非一次性文档工程。

美国战争部批准《加速任务软件》指令，为AI辅助软件开发设定安全问责要求。AI生成代码被视为未经验证输入，涉及安全功能须人工审查，非公开信息不得输入外部GenAI，需记录模型版本数据。事件点评认为这是政策收紧，短期合规或拖慢交付，长期将改变国防AI供应商准入门槛。

AIBOM作为AI物料清单，是应对AI风险治理的刚需底座，官方标准为CycloneDX1.6ML-BOM，由六大核心模块组成，覆盖模型、数据、算法配置、软硬件依赖及治理技能层。文章提供了无需扫描源码的合规方案，并推荐cdxgen等开源工具，建议企业建立AIBOM台账以应对模型黑盒、数据泄露等风险。

欧盟CRA法案临近，AI编码工具导致SBOM管控失效，需持续扫描与微隔离；韩国银行遭AI赋能攻击致PII泄露，丹麦因弱口令引发数据泄露，日本卡拉OK厂商供应链遭恶意软件入侵；DarkSwordP7与MidnightMimosa恶意软件分别针对iOS与安卓固件；无文件攻击迫使终端安全转向行为监控；Cloudflare收购Deno重塑边缘计算生态。

本文系统阐述SCA与SBOM在软件供应链安全中的核心区别与协同价值。SBOM作为软件成分清单回答软件由什么组成，SCA作为分析技术回答组件存在哪些风险，二者互补缺一不可。文章建议企业在研发阶段集成SCA、构建时生成SBOM、建立持续风险监测机制并将风险处置纳入研发闭环，以形成持续治理能力。

欧盟CRA法案临近，AI编码工具导致SBOM管控失效，需持续扫描与微隔离；韩国银行遭AI赋能攻击致PII泄露，丹麦因弱口令引发数据泄露，日本卡拉OK厂商供应链遭恶意软件入侵；DarkSwordP7与MidnightMimosa恶意软件分别针对iOS与安卓固件；无文件攻击迫使终端安全转向行为监控；Cloudflare收购Deno重塑边缘计算生态。

文章总结： AIBOM作为AI物料清单，是应对AI风险治理的刚需底座，官方标准为CycloneDX1.6ML-BOM，由六大核心模块组成，覆盖模型、数据、算法配

文章总结： 该文档为OWASP广东分会举办的CRA合规线下沙龙回顾，聚焦欧盟网络弹性法案落地实践。多位专家从法条解读、SDLC落地、SBOM与漏洞管理、检测证据

文章总结： 本文系统阐述软件供应链安全进入精细化管理阶段的核心要点，涵盖SBOM、SCA、供应商准入、代码构建安全等关键领域，提出从被动扫描转向主动管控、从工具

文章总结： 本文介绍两款MIT协议开源的IoT固件分析工具moria与mithril，分别负责固件拆解与内容分析，支持多种文件系统格式、递归解压、UPX加壳识别

文章总结： 本文汇总多项网络安全动态：CNNVD发布第35期漏洞周报，新增漏洞2265个，修复率78.41%；微软为适配欧盟《网络韧性法案》更新硬件兼容性计划，

文章总结： 欧盟CRA合规检测基于产品分类和TypeA/B/C三层标准体系，通过风险评估、安全测试、漏洞处理等步骤验证AnnexI要求，最终输出技术文档、DoC

文章总结： 美国及13盟国更新SBOM指南，新增哈希算法、许可、签名等10要素，移除访问控制与SWID标签，旨在提升软件供应链透明度与风险管理能力，建议企业据此

文章总结： 美国及13盟国更新SBOM指南，新增哈希算法、许可、签名等10要素，移除访问控制与SWID标签，旨在提升软件供应链透明度与风险管理能力，建议企业据此

文章总结： AIBOM是AI系统的全成分说明书，用于记录模型、数据、软件依赖等组件信息以提升供应链透明度。其发展受法规倒逼（如EUAIAct）、安全威胁升级（A

文章总结： 美国及13个盟国联合更新软件物料清单最低要素指南。修订新增了组件哈希值、许可、作者签名及格式版本等十个要素，移除了访问控制与软件识别标签，并优化了数

文章总结： 美国及13个盟国联合更新软件物料清单最低要素指南。修订新增了组件哈希值、许可、作者签名及格式版本等十个要素，移除了访问控制与软件识别标签，并优化了数

文章总结： 美国及13个盟国联合更新软件物料清单最低要素指南。修订新增了组件哈希值、许可、作者签名及格式版本等十个要素，移除了访问控制与软件识别标签，并优化了数

文章总结： 美国及13个盟国联合更新软件物料清单最低要素指南。修订新增了组件哈希值、许可、作者签名及格式版本等十个要素，移除了访问控制与软件识别标签，并优化了数

文章总结： 美国及13个盟国联合更新软件物料清单最低要素指南。修订新增了组件哈希值、许可、作者签名及格式版本等十个要素，移除了访问控制与软件识别标签，并优化了数

文章总结： 美国及13个盟国更新了软件物料清单SBOM最低要素指南，新增组件哈希算法、许可、作者签名等10个元素，移除访问控制和SWID标签，旨在提升软件供应链

文章总结： 美国及13个盟国联合更新软件物料清单最低要素指南。修订新增了组件哈希值、许可、作者签名及格式版本等十个要素，移除了访问控制与软件识别标签，并优化了数

文章总结： 本文探讨AI安全左移理念，强调将安全检查嵌入模型全生命周期而非上线后补救。核心观点是AI系统攻击面为持续扩张链路，需通过ML-SBOM、自动化红队测

文章总结： 本文探讨AI安全左移理念，强调将安全检查嵌入模型全生命周期而非上线后补救。核心观点是AI系统攻击面为持续扩张链路，需通过ML-SBOM、自动化红队测