全球网络行业热点趋势③：供应链安全与后量子密码学，企业正在补上“长期信任”底座
原创
天元实验室
天元实验室
权说安全
2026年11月9日 08:20
江苏
去阅读
║一边是软件依赖、SaaS连接和AI生成代码不断扩大现实攻击面；另一边是量子计算可能动摇今天的密码体系。供应链安全与后量子密码学看似相距甚远，实则都在回答同一个问题：数字世界的信任如何被证明，又如何经得起时间考验？
网络安全行业常常追逐最新的攻击与防御技术，但真正决定企业能否长期稳定运行的，往往是那些不够“显眼”的基础能力。
2025—2026年，供应链安全与后量子密码学同时升温。
前者处理的是已经发生的现实风险：一个开源包、一次构建过程、一家SaaS供应商，都可能成为攻击者进入数百家企业的通道。
后者面对的是正在逼近的长期风险：当量子计算能力发展到足以威胁现有非对称密码体系时，今天被窃取并保存的加密数据，未来可能被重新解密。
一个关乎软件“从哪里来、是否被篡改”，一个关乎加密“还能信多久”。二者共同指向了网络安全最底层的命题——信任不能只靠声明，必须有证据，并且能够持续验证。
一、供应链攻击为什么越来越危险？
现代软件已经很少从零开始构建。
一个应用背后可能包含数百个开源依赖、多个容器镜像、第三方SDK、CI/CD工具、云服务和SaaS连接。企业交付速度因此大幅提升，但信任边界也被拉得越来越长。
攻击者不必正面突破目标企业。如果能够污染一个被广泛使用的软件包、窃取供应商账号、篡改构建流程，或控制一家上游服务商，就可能借助正常的更新与连接机制进入大量客户环境。
2025年出现了几个值得关注的信号：
●2025年10月的软件供应链攻击数量，比此前纪录高出30%以上；
●Drift/Salesforce相关SaaS供应链事件波及超过700家公司；
●全球软件供应链攻击成本达到600亿美元，并预计在2031年升至1380亿美元。
供应链攻击的破坏力，并不只来自受影响企业数量，还来自它对“合法信任”的利用。
恶意代码可能带着合法签名进入系统，攻击流量可能来自已经授权的SaaS连接，被入侵组件也可能出现在日常更新流程中。许多传统边界防护因此很难第一时间识别异常。
二、SBOM从一份清单，走向强制性的安全基础设施
要管理软件供应链，第一步是回答一个看似简单的问题：
我们正在使用的软件，到底由什么组成？
SBOM，即软件物料清单，就是为软件建立一份成分目录，记录其中包含的组件、版本和依赖关系。当某个开源组件曝出严重漏洞时，企业可以据此快速判断哪些产品和系统受到影响。
过去，SBOM更多是一项行业倡议；现在，它正在进入监管与采购要求。
欧盟《网络韧性法案》（CRA）要求软件制造商创建和维护标准化SBOM，美国相关行政要求也推动联邦关键软件提供SBOM。SBOM由此从“最佳实践”逐渐变成软件交付的基础凭证。
但只有SBOM，还远远不够。
一份静态清单可以告诉我们“软件里有什么”，却不能自动说明某个漏洞在当前产品中是否真的可被利用，也不能证明构建过程未被篡改，更无法覆盖软件上线后的运行风险。
真正完整的供应链证据链，需要把多种能力结合起来：
SBOM：说明软件包含哪些组件；
VEX：说明某个已知漏洞在特定产品中是否可被利用；
SLSA等构建完整性机制：降低构建流程被篡改的风险；
数字签名与来源证明：验证制品由谁产生、是否保持完整；
运行时监控：观察软件上线后是否出现异常行为。
供应链安全因此正在从“交一份合规文件”，升级为“持续提供可验证证据”。
三、AI辅助开发，又打开了一条新的供应链风险通道
AI正在显著提高开发效率，同时也会放大开发者对外部依赖的使用速度。
在“Vibe Coding”等AI辅助开发模式下，开发者可能直接采用模型生成的代码与依赖建议，而没有充分检查软件包的来源、维护状态和安全性。
如果AI编码助手推荐了拼写相近的恶意包，攻击者就可能利用typosquatting进入项目；如果模型生成了一个并不存在的软件包名称，攻击者甚至可以抢先注册同名恶意包，等待开发者下载。
风险也不再局限于传统代码仓库。Hugging Face等模型注册中心保存了模型、数据集和相关文件，同样面临恶意上传、依赖污染和来源不明等问题。
这意味着企业未来需要管理的不只是软件SBOM，还可能包括AI模型、数据集、插件与生成代码的来源信息，也就是更广义的AI供应链清单。
AI生成得越快，来源验证就越不能慢。
四、后量子密码学为什么必须现在开始准备？
与供应链攻击相比，量子计算对密码体系的威胁似乎还没有迫在眉睫。
但密码迁移不是一次简单的软件升级。
企业的数字证书、VPN、身份认证、代码签名、数据库加密、物联网设备和合作伙伴接口，都可能依赖现有的非对称密码算法。许多核心系统生命周期长达十年甚至更久，一些嵌入式设备部署后也很难更新。
Gartner将后量子密码学列入2026年网络安全重要趋势，并预测量子计算可能在2030年前使现有非对称密码体系变得不再安全，因此建议组织现在就开始迁移准备。
真正需要重视的，还有“现在窃取、未来解密”风险。
攻击者可以在今天截获并保存加密数据，等待未来计算能力成熟后再尝试解密。对商业秘密、医疗数据、国家关键信息和需要长期保密的个人数据而言，即使解密发生在多年以后，损失依然成立。
所以，判断后量子风险不能只问“量子计算机什么时候出现”，还要问：
这批数据需要保密多久？系统完成密码迁移又需要多久？
如果数据保密期与迁移周期之和，已经接近潜在风险窗口，那么准备工作就不应再等待。
五、后量子迁移的关键，不只是更换算法
企业在谈论后量子密码学时，容易把重点放在某一种新算法上。但从管理角度看，更重要的能力是“密码敏捷性”——知道密码技术在哪里被使用，并能在风险、标准或业务需求变化时完成替换。
可以从五个步骤开始。
- 建立密码资产清单
盘点证书、密钥、算法、协议和硬件设备，明确它们分别支持哪些业务系统、数据和外部连接。没有清单，就无法判断迁移范围。
- 按数据保密期限确定优先级
并非所有系统都需要同时改造。优先处理长期敏感数据、关键基础设施、身份信任体系和难以更新的设备。
- 评估系统和供应商的迁移能力
将后量子支持能力纳入产品采购、供应商评估与合同要求，确认关键厂商是否有明确路线图，而不是等到风险临近时被动更换整套系统。
- 先试点，再分阶段迁移
在非核心环境中验证兼容性、性能和运维流程。对关键系统，应根据技术成熟度和监管要求，设计可回退、可并行验证的迁移方案。
- 把密码迁移纳入长期治理
后量子迁移不是密码团队的孤立项目。它需要安全、架构、开发、采购、法务和业务部门共同参与，并持续更新资产清单、风险判断和实施计划。
六、供应链安全与PQC，为什么应该放在同一张治理地图上？
表面上看，供应链安全关注软件，后量子密码学关注加密算法。但从企业治理角度看，它们存在高度相似的难题：
●资产不可见：不知道用了哪些组件，也不知道哪些系统依赖哪些密码技术；
●依赖关系复杂：任何一个上游组件、供应商或协议变化，都可能影响大量业务；
●迁移周期漫长：发现问题之后，往往无法一夜之间完成替换；
●需要第三方协同：风险跨越组织边界，仅靠企业内部团队无法独立解决；
●信任必须可验证：不能只接受“安全”承诺，而要检查来源、签名、清单和审计证据。
因此，企业可以把两项工作统一纳入“数字信任治理”：一端管理软件、模型和服务从何而来，另一端管理身份、通信和数据凭什么可信。
最终形成的不是两套孤立项目，而是一张覆盖组件、构建、供应商、密码资产、业务系统和数据生命周期的信任地图。
七、企业可以立即启动的七项行动
-
为关键应用建立并持续更新SBOM，而不是在交付时一次性生成；
-
将VEX、数字签名、来源证明和运行时监控纳入供应链安全流程；
-
对关键开源依赖、SaaS连接和供应商账号进行持续监测；
-
为AI生成代码和模型资产增加来源验证、依赖审查与人工复核；
-
建立密码资产清单，识别长期敏感数据和难以升级的系统；
-
在采购和供应商合同中加入软件透明度及后量子迁移要求；
-
选择少量非核心业务开展迁移试点，提前验证技术与流程问题。
这些动作看起来不如“部署一套新平台”醒目，却能直接降低未来迁移的成本和不确定性。
结语：真正可靠的安全，必须经得起追溯与时间
供应链风险提醒我们，不能因为一个组件来自熟悉的上游，就默认它永远可信；后量子风险提醒我们，也不能因为一种密码技术今天可靠，就假设它能永久保护数据。
数字世界的信任正在从静态判断变成持续验证。
未来，企业不仅要知道软件中包含什么、制品从哪里来、构建过程是否完整，还要知道关键数据使用了什么密码技术、需要保密多久，以及何时能够完成迁移。
看得见依赖，拿得出证据，换得动密码。
这三种能力，将共同决定企业能否在越来越复杂的软件生态与越来越漫长的技术周期中，守住真正的长期安全。
参考资料
注：本文依据公开资料及《2025—2026年网络安全行业热点趋势深度调研报告》整理，数据截至2026年9月。涉及预测的数据可能随技术与监管发展发生变化，建议企业结合自身数据保密周期和系统现状制定迁移计划。
推荐阅读
[全球网络行业热点趋势②：云原生安全与安全运营自动化，正在从工具堆叠走向智能平台
2026-10-26
](https://mp.weixin.qq.com/s?__biz=MzU5NjEzNTY4NQ==&mid=2247486431&idx=1&sn=70ac305b907918f3c6b7f5dcf9533eb9&scene=21#wechat_redirect)[全球网络行业热点趋势①：AI安全与身份安全，正在成为行业绝对焦点
2026-10-12
](https://mp.weixin.qq.com/s?__biz=MzU5NjEzNTY4NQ==&mid=2247486430&idx=1&sn=53b368f294e0a1313a649671fcb6e380&scene=21#wechat_redirect)[从策略堆叠到智能决策：AI 如何让零信任真正动态起来
2026-09-21
](https://mp.weixin.qq.com/s?__biz=MzU5NjEzNTY4NQ==&mid=2247486415&idx=1&sn=57734d46604840a0618e1e8d454a50fd&scene=21#wechat_redirect)
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论