中国信息安全测评中心主任彭涛：筑牢数智时代软件供应链安全根基

原创

彭涛
彭涛

中国信息安全

2026年7月6日 10:48
北京

在小说阅读器读本章

去阅读

筑牢数智时代软件供应链安全根基

彭涛

中国信息安全测评中心主任

当前，以大模型、智能体为代表的新一代人工智能技术深度嵌入数字经济发展的方方面面，软件供应链正经历从“代码集成”向“智能聚合”的范式跃迁。这一变革既为数字经济注入澎湃动能，也带来了前所未有的安全挑战。面对交织叠加、复杂多变的未知风险，筑牢数智时代软件供应链安全的数字根基，既是统筹发展和安全的题中之义，也是护航数字中国建设、夯实新质生产力根基的时代必答题。

外察其势，遏压层层加码。放眼全球，软件供应链已成为大国科技博弈的关键战场。美国、欧盟在构筑自身安全防御体系的同时，不断强化对主要竞争对手的供应链封控，技术壁垒高筑、脱钩断链加码。近期，美国政府以“国家安全”和“供应链风险”为由，针对前沿大模型实施紧急出口禁令，将底层框架、开发工具纳入管控清单，进一步织密技术出口管制、开源生态壁垒与算力资源封锁的立体网络。从芯片限售到云端算力封锁，从开源社区限制到标准规则主导，西方正以核心技术壁垒构筑“数字铁幕”，试图切断我国AI 发展的创新链与供给链。面对外部极限施压的层层加码，供应链安全已从隐性技术隐患骤然升级为产业存亡大考，这既是攻坚战，亦是持久战。

内观其变，风险如影随形。AI 技术的深度融入，已打破传统软件供应链的安全边界。训练数据投毒、模型文件篡改、研发工具链劫持等新型攻击手段层出不穷，与传统开源组件漏洞、第三方依赖风险相互叠加，致使风险敞口呈现指数级扩大之势。从底层芯片到顶层算法，从开发环节到部署运维，风险传导链条更长、隐蔽性更强、破坏力更大，稍有不慎便可能引发系统性、全局性的安全风险。与此同时，我国软件开发的核心环节仍高度依赖境外开源生态与底层芯片架构，部分关键软件“根技术”受制于人，供应链断供与技术脱钩的达摩克利斯之剑始终高悬。

综合施策，志在久久为功。面对严峻的外部封锁与内部风险交织的复杂局面，我国正努力完善适配 AI 场景的软件供应链安全治理体系，构建兼顾安全治理与自主突围的双轨防线。在合规治理层面，2026 年公布并施行的《国务院关于产业链供应链安全的规定》及《网络安全技术软件供应链安全要求》（GB/T 43698-2024）等行政法规和国家标准，将供应链安全从“可选项”变为“必选项”，为供应链全生命周期安全管理提供了法定框架。在技术破局层面，国内安全企业坚持“以 AI 治理 AI”，推动软件物料清单（SBOM）与 AI 资产清单的普及应用，积极构建覆盖全链路、全周期的主动防御体系。同时，国家全面统筹政产学研用各界力量，通过安全治理与自主可控双轮驱动，不断将制度优势转化为技术胜势，确保在全球数字博弈的惊涛骇浪中，我国数字产业发展行稳致远、进而有为。