開源漏洞趨勢：公告四年低點、惡意軟體激增

🔑 增強重點摘要

• •GitHub 報告指出，開源生態系統中的惡意軟體攻擊手法已從傳統的漏洞利用，轉向更具隱蔽性的「軟體供應鏈投毒」（Supply Chain Poisoning），例如透過惡意套件進行憑證竊取。
• •CNA（CVE 編號授權機構）發布量的成長，反映了開源社群對於漏洞揭露流程的標準化程度提升，但也同時增加了維護人員在處理大量低風險漏洞時的「警報疲勞」（Alert Fatigue）。
• •研究顯示，儘管傳統漏洞公告數量下降，但開發者對於自動化安全掃描工具的依賴度顯著增加，這促使攻擊者轉而針對 CI/CD 流水線配置錯誤進行攻擊，而非僅僅針對程式碼本身的漏洞。

🛠️ 技術深入

• •GitHub 透過其安全實驗室（GitHub Security Lab）利用機器學習模型分析公開儲存庫的提交模式，以識別異常的依賴項注入行為。
• •惡意軟體檢測機制整合了靜態分析（Static Analysis）與行為分析（Behavioral Analysis），特別針對 npm、PyPI 等套件管理器的安裝腳本（post-install scripts）進行監控。
• •漏洞分類標準化採用了 CVSS v4.0 框架，旨在更精確地評估開源專案中漏洞的實際可利用性（Exploitability）與影響範圍。

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線