Docker joins Athena coalition for supply chain security

•AI 驅動的攻擊正利用機器學習自動識別漏洞、即時利用系統錯誤配置，並透過提示注入和深度偽造等技術進行社會工程，顯著加速了供應鏈攻擊的速度和規模。
•Docker 透過其現有產品（如 Docker Scout、Docker Hardened Images 和 Hardened Docker Desktop）積極強化軟體供應鏈安全，這些產品提供漏洞監控、SBOM 生成、最小化攻擊面、加密簽名和持續修復功能。
•軟體供應鏈安全已從傳統的終端產品安全轉變為涵蓋整個軟體開發生命週期（SDLC），強調從開發初期到部署和維護階段的「左移」安全策略，以應對日益複雜的第三方依賴性風險。
•供應鏈攻擊的複雜性不斷增加，惡意套件上傳量顯著增長，且第三方程式碼中的漏洞修復時間更長，使得傳統的簽名式檢測方法失效，需要更具適應性和上下文感知能力的防禦機制。
•Athena 聯盟最初是一個旨在提升女性在企業董事會和高階主管職位上的影響力的平台，其加入 Docker 聯盟可能代表其將影響力擴展到關鍵產業安全倡議的策略轉變。

Docker Scout: 一個事件驅動的平台，用於軟體供應鏈安全，透過分析映像檔組成來生成軟體物料清單 (SBOM)，並將其與超過 20 個安全諮詢機構的資料庫進行交叉比對，以即時識別 CVE。它提供漏洞監控、映像檔分析、詳細報告和修復建議，並引入 Docker Health Scores 以評估映像檔安全狀況。
Docker Hardened Images (DHI): 專為安全性設計的容器映像檔，具有以下特點：
- 最小化攻擊面: 採用精簡的無發行版 (distroless) 方法，移除不必要的組件，將攻擊面減少高達 95%。
- 加密簽名和來源證明: 每個 DHI 都經過加密簽名，確保真實性和完整性，並維護建構來源證明，符合 SLSA (Supply-chain Levels for Software Artifacts) 等標準。
- 軟體物料清單 (SBOM): 包含全面的 SBOM，詳細列出映像檔內的所有組件和依賴項，有助於漏洞管理和合規性追蹤。
- 持續維護和快速 CVE 修復: Docker 提供定期更新和安全補丁，並對關鍵和高嚴重性漏洞提供 SLA。
Hardened Docker Desktop: 強化開發者工作站，以防範惡意軟體和供應鏈攻擊，提供企業級安全功能。
安全開發實踐: 建議使用最小化基礎映像檔、多階段建構、透過摘要而非標籤固定映像檔版本、以非 root 用戶身份運行容器、使用唯讀檔案系統，並在 CI/CD 流程中整合安全掃描。

AI 驅動的供應鏈攻擊將變得更加普遍和複雜，需要業界持續投資於自動化和適應性防禦機制。

攻擊者正利用 AI 加速漏洞識別和利用，導致惡意軟體更具多態性和上下文感知能力，傳統防禦手段將不足以應對。

像 Docker 加入 Athena 聯盟這樣的跨產業合作將成為應對新興網路威脅的關鍵，促進安全標準的統一和最佳實踐的共享。

軟體供應鏈的相互關聯性意味著單一組織無法獨自應對威脅，聯盟合作有助於建立更具彈性的生態系統。

Docker 將擴大其在保護 AI 工作負載方面的作用，將其現有的容器安全原則應用於 AI 基礎設施，以確保 AI 驅動創新的安全性。

Docker 的 CISO Mark Lechner 強調，Docker 的角色將從開發者賦能擴展到保護 AI 基礎設施本身，將透明度、來源證明和持續審查的原則應用於 AI 工作負載。

2016

Athena Alliance 成立，旨在促進女性在企業董事會和高階主管職位上的發展。

2023-09

Athena Alliance 完成 200 萬美元的種子輪擴展融資，總融資額達到 250 萬美元，其中 87% 的股權由女性持有。

2024-05

Athena Alliance 創始人兼執行長 Coco Brown 討論了該組織從非營利組織轉型為營利模式的歷程。

2025-01

Docker 強調其透過 Docker Scout、Docker Official Images、Image Access Management 和 Hardened Docker Desktop 等工具，持續改進軟體供應鏈安全。

2025-11

Mark Lechner 加入 Docker 擔任 CISO，並闡述了 Docker 在保護軟體供應鏈（包括 AI 工作負載）方面的願景。

2026-06

Docker 正式加入 Athena 聯盟，以強化軟體供應鏈安全，共同應對 AI 驅動的威脅。

Docker 加入 Athena 聯盟以強化供應鏈安全