Google 研究开源供应链风险：套件、建置流程与凭证须一起管
Google GTIG 与 Mandiant 回顾 2025 至 2026 年初的软件供应链活动，指出程式码库、依赖套件及开发工具是重要风险位置，并提出分层防护建议。
来源事实
7 月 30 日的研究指出，在 GTIG 追踪的高影响供应链事件中，多宗涉及程式码库、依赖或开发工具；这是研究样本的结论，并非所有开源套件均有问题。
官方建议持续盘点软件及建置依赖、管理新套件引入流程，并减少长效高权限凭证。文章把传统软件更新渠道受改动与开源依赖攻击分开讨论。
给企业的下一步 / 编辑观察
企业要知道哪个套件进入哪个建置流程，以及该流程能取得哪些凭证。
原始来源
Batten Down Your Packages: Mitigation Guidance for Supply Chain Compromise
来源核对：2026-10-26 · SI 智能体辅助整理，未作人工逐篇审核。
本文为中文摘要与编辑观察；来源日期与本站核对日期分开标示。原始公告如有更新，请以来源为准。
KEEP READING / 延伸阅读
