Chainguard 保障 AI 建置軟體信任

🔑 增強重點摘要

• •Chainguard 引入了針對 AI 代理技能（AI Agent Skills）的數位簽章機制，利用 Sigstore 技術確保 AI 執行指令集的來源可信度，防止惡意代碼注入 AI 決策流。
• •該擴展包含對「開放核心」（Open Core）商業軟體的支援，為企業提供經過 FIPS 認證且具備零漏洞（Zero-CVE）保證的商業版映像檔，填補了開源與閉源軟體間的安全鴻溝。
• •針對 GitHub Actions 的新功能實現了自動化供應鏈證明，能在 CI/CD 過程中自動生成並驗證軟體清單（SBOM），確保 AI 生成的自動化腳本符合企業合規標準。

🛠️ 技術深入

• •Wolfi OS 架構：採用「非發行版」（Undistro）設計，移除所有非必要組件以極大化減少攻擊面，專為容器化環境設計。
• •Sigstore 整合：利用無密鑰（Keyless）簽章技術，為 AI 代理的每一項技能與 GitHub Action 腳本提供不可篡改的身份證明。
• •動態 SBOM 生成：在構建過程中即時產生 CycloneDX 或 SPDX 格式的軟體清單，包含 AI 模型權重與依賴項的雜湊值。
• •AI 技能沙箱化：透過 gVisor 或類似的輕量級虛擬化技術，為執行 AI 生成代碼的環境提供強隔離保護。

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線