随着软件和数智化技术的快速发展，以传统软件、硬件为主的信息化设备形态开始向数字化、多元化方向发展。同时，由于数字制品开发的分工、集成以及第三方供应商的不断介入，数字供应链的生态系统越来越复杂，产业链、创新链上的风险也接踵而至，开源风险、开发缺陷、软件供应链攻击等问题不断涌现。因此，伴随着数字资产在各个领域的部署和应用的深入，数字供应链风险蔓延到了整个数字空间，并已贯穿了数字资产的整个生命周期。

实现数字资产全生命周期的风险管理，是企业风险管理者的终极目标。无论是主张交付为核心的软件供应链安全，还是传统IT风险管理的CISO，都应适应并紧跟这一融合趋势，适应技术变革。在此背景下，安全牛提出了“数字供应链安全”这一理念，并启动了《数字供应链安全技术应用指南（2025版）》报告研究工作。

本报告基于用户视角，从数字供应链当前的国际环境、网络现状、风险态势入手，通过建立合理的风险框架对其安全风险特点进行了细致的问题分析和方法梳理。为帮助CISO应对企业日益严峻的各类数字供应链风险问题，本报告结合国际通行方法论，结合国内实际情况，给出了适宜的安全管理参考框架，以帮助企业实现供应链安全从“被动防御”向“主动治理”的升级。同时，本报告在产业研究的基础上，对当前技术体系、产业现状、典型应用场景和厂商创新能力进行了深入分析和研究，并为企业落地数字供应链安全提供了最佳参考实践。

本报告内容包括了：概念演进、风险分析、安全框架与关键技术、业务场景分析、产业分析、建设挑战与建议、最佳实践、未来趋势等章节。

6月11日，《数字供应链安全技术应用指南（2025版》报告正式发布。

结合系统脆弱性、外部威胁、国际环境、政策监管维度来看，当前数字供应链安全正在由传统的技术问题演化为战略性、系统性的全球治理难题，整体发展趋势呈现出高度复杂化、系统化和国际化的严峻态势。

从数字供应链生态环境来看，业务环境、组织环境和国际环境是数字供应链安全的三个重要环境因素。其中，业务环境风险与业务生产活动中的工具和流程密切相关；组织环境风险与组织内部的人、网络系统安全相关；国际环境对供应链系统的风险通常会表现为供应链攻击和组织合规类风险。这些环境因素在数字制品供应活动中相互交织、层层传导。

数字供应链自身的结构决定数字供应链风险具有类型复杂、影响范围广、扩散速度快、隐蔽性强等特点。但对企业而言，数字供应链中的资产、威胁、脆弱性的类别差异较大，供应链风险管理工作要结合自己行业特点、制品特点进行具体风险识别。

从中国、美国及欧盟在数字供应链安全治理方面所采取的举措中，我们发现：不同国家数字供应链安全治理的目标和方式存在诸多的差异，但也有一些共同点值得关注。共同点体现为：法规和标准是当前各国开展数字供应链安全治理的主要驱动因素之一；监管政策以制品安全和网络安全为抓手，加速向细分领域延伸；追求制品的透明性与可追溯性是各国数字供应链治理的共同目标。

数字供应链风险管理远超出了单个企业能力管辖的范畴。对企业而言，数字供应链风险管理八重挑战：暴露面广与风险不可逆、软硬件融合检测技术挑战、供应商信任管理挑战、安全与业务矛盾、增量风险识别难、风险感知和响应挑战、风险隐蔽与责任溯源难、合规与法规压力挑战。

技术体系：当前构建数字供应链安全的核心能力可分为知识库和情报预警、软件制品安全检测与防御、数据安全检测、风险可视化与评估、AI增强技术及供应商风险管理6类。其中，新兴及复合型技术对数字供应链安全能力提升起着更积极的推动作用。数字供应链安全的技术体系，整体呈现为“以基础检测技术为底层支撑，复合型、创新型技术为上层驱动”的典型特征。

受当前大经济环境影响，企业营收增速整体趋缓。调研显示：除个别规模较小的企业，由于本身体量较小营收增长较快外，多数企业营收增速平均在15%左右，相比2023年调研的20%有所下降。市场营收增长点，主要集中在SCA、合规检测工具、管理平台、AI智能审计类产品中。

供应链安全的行业用户早期主要集中在金融、运营商、政府和能源等大型国央企。随着监管、供应链合规、测评检测工作的开展，汽车、能源等行业的供应链安全需求逐渐进入了快速增长期。当前，行业供应链安全监管力度、建设进度各不相同，需求差异也较明显。

在厂商能力方面，调研显示：当前关注数字供应链安全的厂商以开发安全和软件供应链安全厂商为主，厂商范围相比往年变化不大，说明国内数字供应链安全能力是从开发安全向上构建的。过程中，厂商在努力通过创新发现和创新应用使传统开发安全技术与网络安全和数据安全需求融合。

AI与模糊测试融合实践创新

模糊测试是一项对测试实例和自动化依赖非常高的测试能力。云起无垠将模糊测试与人工智能、遗传算法深度融合，革新传统测试用例生成、测试覆盖及定向模糊测试模块。在智能模型测试的基础上，进一步打造AI安全智能体平台，实现了自动化挖掘0day安全漏洞，支持安全知识问答、教育培训、安全文档编制、最新安全论文分析、漏洞智能分析、安全工具的智能调用和威胁情报的智能检测等功能。

该方案创新点表现有以下两个方面：

智能模糊测试的技术融合创新：实现智能化安全检测与漏洞自动修复的闭环；

AI安全智能体平台的生态集成创新：显著提升渗透测试与攻防演练的自动化水平。

供应链风险可视化应用创新

比瓴科技的持续应用安全平台（ASPM）瓴域，是一款以业务视角提供供应链安全可视化的工具，具有较强的第三方工具对接能力。在此基础上，瓴域通过跨工具的漏洞数据关联分析能力，对AST工具的漏洞数据汇聚，利用平台提供的多个漏洞分析模型，实现对漏洞的可达性、可利用性的自动化分析，并对漏洞进行跨工具的去重，同时对部分漏洞提供自动化POC验证的能力，帮助企业聚焦关键漏洞。

产品创新点主要表现有以下两个方面：

业务视角的安全管理创新：突破传统工具仅聚焦技术层面的局限；

跨工具协同分析与自动化能力创新：打破了传统行业内各为自据的竞争格局。   

AI大模型生态软件安全检测应用创新

找八哥SCA-Ai 是思客云在AI落地应用大背景下，与时俱进推出的AI大模型生态软件安全检测方案。产品集成了找八哥SAST和SCA工具，以及思客云深度扫描的技术优势，能专门满足复杂AI容器镜像包对深度成分分析和检测的需求；另一方面，将这些能力与MLOps工具深度融合，在AI大模型项目开发和部署的全生命周期中实现全面的、自动化的安全检测，并在整个开发过程中为开发团队提供持续监控和自动化修复建议。找八哥SCA-Ai帮助AI大模型落地企业识别和缓解AI供应链攻击风险，确保AI大模型部署和应用的环境安全。

找八哥SCA-Ai方案的创新点：

深度检测技术与AI场景融合创新：方案迎合了AI大模型落地应用安全刚需，填补了AI生态下软件安全检测的特定场景空白。

MLOps全生命周期自动化安全闭环创新：方案为MLOps开发环境构建了从风险识别到修复的完整闭环，贯穿AI大模型项目开发、部署的全开发周期，有效缓解了AI供应链攻击风险。