Google 研究開源供應鏈風險：套件、建置流程與憑證須一起管
Google GTIG 與 Mandiant 回顧 2025 至 2026 年初的軟件供應鏈活動，指出程式碼庫、依賴套件及開發工具是重要風險位置，並提出分層防護建議。
來源事實
7 月 30 日的研究指出，在 GTIG 追蹤的高影響供應鏈事件中，多宗涉及程式碼庫、依賴或開發工具；這是研究樣本的結論，並非所有開源套件均有問題。
官方建議持續盤點軟件及建置依賴、管理新套件引入流程，並減少長效高權限憑證。文章把傳統軟件更新渠道受改動與開源依賴攻擊分開討論。
給企業的下一步 / 編輯觀察
企業要知道哪個套件進入哪個建置流程，以及該流程能取得哪些憑證。
原始來源
Batten Down Your Packages: Mitigation Guidance for Supply Chain Compromise
來源核對：2026-10-26 · SI 智能體輔助整理，未作人工逐篇審核。
本文為中文摘要與編輯觀察；來源日期與本站核對日期分開標示。原始公告如有更新，請以來源為準。
KEEP READING / 延伸閱讀
