澳大利亚政府在网络安全问题上展现出的重视，明确表明该领域已被提升至国家级关键风险层面，但他们的战略是否足够深远？

目前围绕“左移”（即在开发流程更早阶段引入安全机制）的许多举措，其效果往往差强人意。

美国联邦政府发布的最新行政令涉及功能性网络安全的诸多方面，但首次明确指出了开发人员的影响力，以及他们必须具备经过验证的安全技能和意识。

美国国家标准与技术研究院（NIST）发布了一份更新后的白皮书，详细阐述了旨在减少软件漏洞和网络风险的多项行动计划。

我本可以列出一系列数据和指标，来展示一家处于高速增长期的初创公司是多么成功；这些数字确实令人印象深刻，公司的发展势头也十分强劲。然而，对我而言，这些数字并不能代表我在 2019 年最引以为傲的成就。

周年纪念日是一个绝佳的契机，让我们回顾过往的耕耘成果，庆祝团队的成就，并满怀信心地迎接新的一年。公司成立七年了，我不禁自问：我们成功了吗？这算是一家成熟的企业了吗？当然，我们已经走向成熟，但我真心希望我们永远不会失去创业之初的那份好奇心、热情和极客精神。

专业开发人员希望拥抱 DevSecOps 并编写安全的代码，但如果企业希望这种努力能够持续增长，就必须为这一重大变革提供支持。

本周，我们正式庆祝 Secure Code Warrior 成立八周年。从某种角度看，这相当于阿波罗 11 号任务时长的 350 倍，或是 45,000 场足球赛，又或是通关 5,696 次《超级马力欧：奥德赛》。但从另一个角度看，这仅仅是巨龟寿命（如果你好奇的话，是 250 年）的三十分之一。在高速发展的初创企业世界里，这代表了一段充满曲折、教训与成就的旅程，其中许多成就我们在最初撰写商业计划书时根本无法想象。

将 API 安全性寄希望于运气，无疑是为未来埋下隐患，往坏了说可能导致灾难性后果，往好了说也会带来令人沮丧的返工和低下的性能。

接触者追踪应用程序的初衷是好的。如果运行良好，这项技术能够确保快速发现疫情热点并进行全面检测，而这两者都是抗击传染病传播的关键环节。

如果从未有人教导开发人员为何安全编码至关重要、不安全代码会带来哪些后果，以及最重要的是，如何在各自的编程框架中从源头上避免这些漏洞，他们又该如何编写安全的代码呢？

这项研究的意义在于，我们为大量此前未被报道的、令人担忧的安全编码问题提供了实证依据。

去年年底，MITRE 社区发布了 2019 年全球最危险的 25 类软件错误（CWE Top 25）。这份榜单的内容大多在预料之中。

我们的愿景是让开发人员成为组织安全防线的第一道关口，通过提升安全工作的可见性，并为他们提供从源头编写安全代码所需的技能与工具。

少年安全研究员 Bill Demirkapi 曝光了其所在学校所用软件中的重大漏洞，这着实勾起了我的一些回忆。我记得自己小时候也曾是个好奇的孩子，喜欢拆开软件的“引擎盖”一探究竟，看看它们是如何运作的……以及我是否能将其破解。

赋能开发人员从源头编写安全代码，是 CISO 摆脱安全困境、掌握主动权的一个契机，同时也为安全团队和开发团队带来了快速、简便且可衡量的改进机会。

如果开发人员在编写 JavaScript 代码时引入了跨站脚本错误，并且能在产生该漏洞后的几分钟内将其检测出来

我们预测 2021 年将开启一场全新的“太空竞赛”，其核心任务是：保护我们的银河系免受网络威胁。

医疗行业可能成为下一个“重大”网络安全战场，犯罪分子正将攻击目标对准那些用于诊断疾病、提供治疗和维持生命的医疗设备。

在网络安全领域，我们常常像猎人一样，目光紧盯着地平线，搜寻着下一个突发漏洞。然而，这种前瞻性的关注可能会产生意想不到的副作用，即削弱我们整体的安全意识。

这些以开发者为中心的活动是我日程表里最喜欢的项目之一；它们时刻提醒着我，有这样一个群体正不懈努力，通过教育和赋能，帮助软件工程师和专家们在工作中捍卫安全，这让我深感敬佩。

我们面临 的真正挑战并非来自脚本小子或危险的犯罪团伙，而是如何让更多人意识到数据泄露正在发生。

软件安全始终是我关注的焦点，我们日益数字化的生活方式以及随之而来的个人信息共享所带来的现实危险也是如此。毕竟，我们正处于一个基本不受监管、缺乏监督且被人们选择性忽视的领域。我们正身处“蛮荒西部”。

在安全团队之外，人们可能并不太理解为何要采取预防性而非反应性的策略，尤其是在尚未发生重大安全事故的情况下。

今年，PCI安全标准委员会发布了一套全新的软件安全指南，作为其PCI软件安全框架的一部分。此次更新旨在使软件安全最佳实践与现代软件开发保持同步。

当下数字世界的宠儿——元宇宙——的出现，为代码级漏洞和社交工程攻击开辟了广阔的新战场。而我们对于在这个虚实难辨的新领域中进行博弈，显然还未做好准备。

随着首席信息官（CIO）积极构建企业敏捷能力，安全编码技能将成为创新的利器，而缺乏这些技能则会成为破坏的根源。

英国华为网络安全评估中心近期发布的一份报告指出，华为的软件工程流程存在重大安全问题。但这些问题是可以解决的。

API 安全固然棘手，但只要有充分的培训、规划并专注于最佳实践，即使是最隐蔽的漏洞也能得到缓解。

虽然监管举措无疑会随着时间推移而不断完善和发展，但如果企业现在就惊慌失措地盲目开展培训，未来可能会发现自己依然准备不足。

很少有公司能真正成功实施 DevOps。然而，只要在整个业务层面给予正确的支持、培育和理解，就能彻底改变您的流程。

近期针对 GitHub 存储库的攻击凸显了安全行业内一个众所周知的问题：大多数开发人员的安全意识依然不足，宝贵的数据随时可能面临风险。

市面上有很多用于发现代码漏洞的解决方案，但安全工作的重点应更多地放在指导开发人员遵循安全准则上，从而从源头上避免这些错误的产生。

网络安全的重要性显而易见，但在供应链背景下，它究竟意味着什么？

随着 GDPR 的出台，以及在多阶段攻击导致多位公众人物及德国联邦政府服务器敏感数据泄露后所采取的修订策略，显而易见，网络安全意识和行动已成为 DACH 地区领导者关注的首要议题。

我们必须摒弃将安全视为企业创新绊脚石的陈旧观念。

开发者来自各行各业，类型多样，而我们所做的一切始终都蕴含着一种社区精神。

关于什么是安全编码，目前尚无定论。近期与 Evans Data 合作开展的一项研究明确揭示了这一观点。《2022 年开发者驱动的安全状况》调查深入探讨了 1200 名活跃开发者的核心见解与实践经验，阐明了他们在安全领域所持的态度及面临的挑战。

我们的客户成功副总裁 Fatemah Beydoun 最近发表了题为“面向未来的指导：我们如何共同促进女性网络安全人才的发展”的演讲，反响热烈。她一直是推动网络安全行业积极变革的核心力量。

尽管安全编码应当成为高等教育阶段软件工程专业的必修课，但目前已有部分高校走在前列，不仅提供了一流的培训，还从开发流程的最初阶段就将安全性置于核心地位。

富有创造力和启发性的 CISO 和 CIO 有能力推动创新并塑造我们的数字世界，同时他们也能在转变组织安全文化方面发挥关键作用。

虽然 VxWorks 对普通消费者来说并非家喻户晓，但这款软件产品每天都在造福你我。然而现在，我们面临着数以亿计搭载 VxWorks 的设备可能已遭入侵的风险。

我们必须努力改变这种对话方式，让安全成为每位开发人员工作生活中不可或缺的一部分。我认为实现这一目标的最佳途径之一，就是通过游戏化等方式，赋能开发人员并让他们积极参与到安全工作中来。

又到了每年一度的特殊时刻（至少对我们而言），我习惯回顾过去这一年，总结我们在过去 365 天里所做的一切，为迎接充满成长、经验和不可预见性的新一年做好准备。

正式宣布：我们已与 Bugcrowd 携手合作，共同致力于教育、赋能开发者，并提升他们的安全编码意识。

是时候给安全工作来一次“大变身”了。其实很简单，只要改变沟通方式，让双方——尤其是开发团队——都能以更积极（更不用说更有趣！）的心态参与其中即可。

无论您是在为高管进行网络安全培训，还是在帮助开发人员提升 JAVA 或 C# 的安全编码技能，创意、游戏化和趣味性都大有用武之地。

6月23日是极客日历上的一个特殊日子，即国际女性工程日。这是我们彰显女性在软件开发领域所做贡献的绝佳契机。

软件安全行业向来以严谨著称，很少与温情、奇思妙想或人生感悟挂钩。但随着年龄增长，我开始反思我们每个人能为这个世界带来怎样的影响。

随着网络攻击日益猖獗，各行各业的各类组织无一幸免，数据泄露带来的高昂代价、声誉损失以及对利润的直接冲击已成为迫在眉睫的现实威胁。这个问题非但没有缓解，反而像肿瘤一样不断恶化。

在我们的行业中，许多安全专家已经开始预测今年的热门议题，但鉴于 2019 年有超过 50 亿条敏感数据记录被窃取，我们认为预测未来可预见的时间内“不会发生”什么，反而会更准确。

打造高效开发者安全培训的 5 个重要经验

通过在严密的层级中明确应用程序和软件的职责，并以最小权限原则执行相关策略，我们能够确保这些应用程序和软件在面对严峻的威胁环境时，依然能够生存并蓬勃发展。

开源软件安全动员计划是推动开发者主导安全的一项积极举措。然而，我们都需要审视并诚实地评估：我们的组织是否已足够成熟，我们的开发团队是否具备了相应的安全意识和技能，以实施这些最新且最强大的防御策略。

“AppSec 领袖”小组讨论会探讨了如何充分利用组织的应用安全预算等热门议题，并解答了现场观众提出的诸多棘手问题，为安全专家在组织内构建切实可行的项目提供了宝贵的启发。

随着女儿和公司一天天长大，我愈发觉得创业之旅与初为人父的历程有着诸多相似之处。如今，这两者我都已走过了四个年头。

无论你是职场新人还是资深开发者，都有一个问题必须思考。而且，这个问题的答案至关重要。

面对现代网络安全永无止境的猛烈攻击，我们既没有获得切合实际的建议，也没有找到最快捷的解决方案。当然，每一次安全漏洞都有其特殊性，且易受攻击的软件中存在无数可被利用的攻击向量。通用的可行性建议固然有限，但目前所谓的“最佳实践”方法论正显得愈发漏洞百出。

尽管 COBOL 是一种古老的计算机语言，但至今依然有效。通过 Secure Code Warrior 了解更多关于 COBOL 安全应用程序开发的信息。

API 安全是大多数安全专家时刻关注的问题，我们必须掌握相关知识，以应对这一挑战。

今年早些时候，PCI 安全标准委员会发布了支付卡行业数据安全标准 (PCI DSS) 4.0 版本。虽然各组织在 2025 年 3 月之前无需完全符合 4.0 标准，但此次更新是迄今为止最具变革性的版本，要求大多数企业评估（并可能升级）其复杂的安全流程及技术栈要素。此外，企业还需落实基于角色的安全意识培训，并为开发人员提供定期的安全编码教育。

CyberNews 专访 Secure Code Warrior 首席执行官兼联合创始人 Pieter Danhieux。

CISA 的国家网络安全战略是我们全面提升软件标准，并最终开启安全技能型开发人员新时代的最佳契机。

尽管 LLM 类 AI 技术不可避免地将改变我们处理工作（不仅是软件开发）的方方面面，但我们必须退后一步，审视新闻标题背后的风险。作为编程助手，它的缺陷或许正是它最“人性化”的特质。

我们宣布完成C轮融资，筹集资金5000万美元，用于推进我们的下一阶段使命：帮助更多先锋企业利用开发团队的力量，共同抵御常见漏洞。 

继完成 C 轮融资后，我非常激动地宣布公司发展历程中的又一重要里程碑。安全行业领导者 Synopsys 迎来了一款令人振奋的新产品：由 Secure Code Warrior 提供支持的 Synopsys 开发人员安全培训。

《网络安全战略计划》推动了大多数组织处理网络安全方式的重大变革，而开发人员在实现这些新目标方面处于独特的地位。

今天是我们的九岁生日。在网络安全领域瞬息万变的今天，我们依然能够取得如此成就并占据一席之地，我深感自豪与感激。

XZ Utils 数据压缩库中发现了一个严重漏洞 CVE-2024-3094，该漏洞由攻击者通过后门植入，影响了多个主流 Linux 发行版。这一高危漏洞可能导致远程代码执行，对软件构建流程构成重大风险。该缺陷影响 Fedora Rawhide 中的早期版本（5.6.0 和 5.6.1），相关组织需紧急实施补丁。此次事件凸显了社区志愿者在维护开源软件中的关键作用，同时也强调了在软件开发生命周期中加强安全实践和访问控制的必要性。

Secure Code Warrior 的创始团队始终并肩作战，在过去十年中共同经历了每一次磨砺、胜利与挫折。我们正在不断壮大，并已做好准备迎接下一个篇章——SCW 2.0，继续引领开发者风险管理领域。

“氛围编程”就像大学里的兄弟会派对，而人工智能就是派对的核心——那桶啤酒。尽情释放、发挥创意并探索想象力的边界固然有趣，但狂欢过后，适度饮酒（或使用人工智能）无疑才是长久之计。

网络安全领域在代理式 AI 的应用上是否操之过急？AI 安全的未来已至，专家们是时候从反思转向行动了。

2025 年对于人工智能、网络安全以及 SCW 来说都是重要的一年。我怀着从容的自信迎接 2026 年，并带着那份唯有辛勤耕耘终获回报时才会有的乐观。

今天，我非常高兴地宣布 Secure Code Warrior 与 KnowBe4 达成战略合作伙伴关系。KnowBe4 是全面管理人员及智能体 AI 风险领域的全球领导者，是协助我们将基础安全意识推广至全球各组织的理想合作伙伴。

通过 KnowBe4 提供的 Secure Code Warrior 内容，技术团队能够通过涵盖 OWASP Top 10 风险、AI 辅助开发及现代安全编码实践的结构化学习，建立安全编码与 AI 治理意识。

Adaptive Learning 将 SCW Trust Agent 与我们的整个学习平台连接起来，确保培训内容与开发人员的实时工作保持高度同步。

Secure Code Warrior 今日发布了一份全新的白皮书，其中涵盖了一种指导性、方向性的 AI 采用模型。安全领导者可以利用该模型识别自身所处的采用阶段，并在控制组织内部 AI 安全风险方面取得实质性进展。

从 AI 自动补全到自主智能体——深入了解软件开发的演变，以及这对安全、治理和您的团队意味着什么。