2025年度软件供应链安全态势分析报告

摘要

2025年全球软件供应链攻击态势持续恶化，攻击频率、影响范围和损失均创历史新高。超过70%的组织遭受供应链攻击，第三方相关数据泄露事件占比达30%，供应链攻击导致的数据泄露平均成本高达444万美元。开源生态成为攻击重灾区，NPM与PyPI平台首当其冲，投毒包总量突破120万个。攻击技术呈现智能化和自动化趋势，AI赋能攻击成为新常态，Shai-Huludnpm蠕虫事件、NPM史上最大规模供应链攻击事件、GitHubActions供应链攻击事件等典型案例均体现了这一特征。合规要求日趋严格，全球监管框架加速完善，《网络安全法》完成重大修改，SBOM成为重要监管要求。企业安全能力建设任重道远，70%企业SLSA处于Level0-1阶段，面临组件可见性不足、漏洞管理流程缺失、构建安全防护薄弱、应急响应能力不足等挑战。开源软件在现代软件开发中占据主导地位，企业软件项目开源软件使用率达100%，平均每个软件项目存在66个已知开源软件漏洞，其中73.0%的项目包含开源高危漏洞。CI/CD管道安全风险突出，工作流注入攻击、环境变量泄露、构建产物篡改等攻击手法频发。AI/ML生态成为供应链攻击新热点，恶意模型投毒、训练数据污染、模型窃取等攻击威胁日益严峻。报告从攻击态势、行业分布、技术演进、典型案例、防护体系等多个维度深入分析2025年软件供应链安全的核心趋势，并结合孝道科技安全研究团队的实战经验，为企业和组织提供有针对性的安全建议与建设路径。企业应建立完善的软件供应链安全治理体系，部署AI驱动的安全检测平台，构建可信组件中心仓，制定供应链安全应急预案，培养专业安全团队，形成持续改进机制，从“六个一”维度构建供应链安全防线，推动安全能力从单点防护向全链治理演进。