来自安全开发领域专家的真知灼见

可以肯定地说，过去几年对网络安全标准进行了变革，尽管这不是强制性的，但所有组织都应该是该死的，仔细审查供应商安全实例，就好像它是自己的部落安全计划的一部分一样。

Business leaders need to make room for SBOMs as a priority, especially with so much change in the air for vendors and their ownership of security. However, while we’re at it, perhaps we need to look at how they can be improved going forward.

继宣布完成 C 轮融资后，我非常激动地向大家宣布公司发展历程中的又一重要里程碑。安全行业领导者 Synopsys 迎来了一款令人振奋的新产品：由 Secure Code Warrior 提供支持的 Synopsys 开发人员安全培训。

令人费解的是，大多数开发人员在编写支撑关键基础设施、汽车、医疗技术以及其他各类系统的代码时，竟然无需先验证其安全能力。另一方面，那些已经多次证明自己具备安全构建能力的专业开发人员，为何还要因为层层安全关卡，被迫与其他人一起在日益缓慢的开发流水线中排队等待？

修复代码漏洞和处理技术债务的成本高昂，且持续制约着软件开发团队的生产力。了解如何通过部署敏捷安全编码学习平台，更有效地培训开发人员掌握安全编码技术，从而在软件开发生命周期（SDLC）的早期阶段更快速地修复漏洞，并从源头上预防漏洞，进而显著降低成本。本篇博客将为您解析如何评估敏捷学习平台的财务影响及投资回报率（ROI）。

我们宣布完成C轮融资，筹集资金5000万美元，用于推进我们的下一阶段使命：助力更多先锋企业发挥开发团队的潜能，有效抵御常见安全漏洞。

The recently released National Cybersecurity Strategy signals the need for a seismic cultural shift for most companies, with the most glaring recommendation coming in the form of security accountability falling primarily on software vendors. This is a positive step, though it is sure to cause teething problems, especially as many organizations struggle to accurately assess their security maturity across the board, particularly among the development cohort.

了解如何将敏捷安全代码学习平台嵌入开发者的工作流程与工具中，并着手构建安全代码学习文化。

今年早些时候，PCI安全标准委员会发布了支付卡行业数据安全标准（PCI DSS）4.0版本。虽然各机构在2025年3月之前无需完全符合4.0版本的要求，但此次更新是该标准迄今为止最具变革性的一次，要求大多数企业评估（并很可能需要升级）其复杂的安全流程及技术栈要素。此外，企业还需落实基于角色的安全意识培训，并为开发人员提供定期的安全编码教育。

了解敏捷安全代码学习平台如何通过在软件开发生命周期（SDLC）早期介入，提升开发人员技能、降低风险并逐步减少技术债务。

通过帮助在严密的层次结构中定义我们的应用程序和软件，并以最低权限执行这些政策，我们可以确认我们的应用程序和软件在面前保护我们的应用程序和软件，也能生存和发展。

CISA 的国家网络安全战略是我们全面提升软件标准、并最终开启安全技能型开发者新时代的最佳契机。

2023 年 3 月 20 日，Spring Security Advisories 发布了一篇博客文章，引用了内部发现的漏洞 CVE-2023-20860。没有透露任何详细信息，只是这是与使用 “mvcMatchers” 有关的访问控制问题。Spring 开发人员已经修复了这个问题，建议进行版本更新。由于安全是我们在Secure Code Warrior的主要关注点，因此我们决定更深入地研究这个MvcRequestMatchers漏洞，找出核心问题所在。

CyberNews 专访 Secure Code Warrior 首席执行官兼联合创始人 Pieter Danhieux。

软件开发生命周期中最大的缺口之一，就是开发人员缺乏时间从源头学习如何保障代码安全。开发人员在返工和修复上浪费了无数时间，导致数百万美元的机会成本损失。了解快速安全编码如何帮助填补这些缺口并提升生产力。

Secure Code Warrior 新功能：体验管理课程的全新方式，探索更多精彩内容。

当下数字领域的宠儿——元宇宙——的出现，为代码级漏洞和社会工程学攻击开辟了广阔的新阵地。而对于这个充斥着虚幻与泡沫的新战场，我们显然还未做好应对准备。

修复不安全代码及其引发的技术债务，是当今科技行业面临的最大障碍之一。了解如何通过实施可扩展的安全代码培训计划，在软件开发周期的早期阶段纠正不良编码模式并发现漏洞，从而有效减少技术债务。

关于何为安全编码的定义，业界尚存争议。近期与 Evans Data 合作开展的一项研究明确印证了这一点。《2022 年开发者驱动的安全状况》调查深入探讨了 1200 名活跃开发者的核心见解与实践经验，揭示了他们在安全领域所持的态度及面临的挑战。

Learn how Coding Labs is like a personal trainer for developers- utilizing interactive, hands-on modules and intuitive feedback within a convenient in-browser IDE to help developers go from learning to doing faster than ever before.

本周，我们正式迎来了 Secure Code Warrior 成立八周年的纪念日。从某种意义上说，这相当于阿波罗 11 号任务时长的 350 倍，或是 45,000 场足球赛，又或是通关 5,696 次《超级马力欧：奥德赛》。但从另一个角度来看，这仅仅是巨龟寿命（如果你好奇的话，是 250 年）的三十分之一。对于一家高速成长的初创公司而言，这八年是一段充满曲折、历练与成就的旅程，其中许多成就甚至在我们最初撰写商业计划书时都无法想象。

在 Secure Code Warrior，我们始终致力于不断创新，助力开发人员和企业掌握应对瞬息万变的安全挑战所需的关键技能。我们汇总了平台的核心功能与最新更新，以及今年发布的各类资源与指南，旨在帮助贵组织在软件开发周期的初期阶段，通过以开发人员为核心的安全实践，全面提升软件安全性。

无论是投资技术栈还是额外的培训项目，每个人都希望获得良好的投资回报。但在安全领域，我们需要着眼长远，不能仅仅局限于计算简单的投资回报率（ROI）。了解如何通过投资“开发者驱动的安全”模式，不仅能避免代价高昂的安全漏洞、生产力损失和技术债务积累，还能构建一套主动且经济高效的策略，从而在当今复杂的威胁环境中占据先机。

针对 SolarWinds 事件等重大安全漏洞（该事件利用软件更新流程感染了超过 18,000 名 Orion 管理软件用户，其中包括许多顶级企业和政府机构），各界愈发呼吁采取更有效的开发人员主导的安全举措。各种规模的组织都开始审视其“软件供应链”，并要求负责开发软件的开发人员具备经过验证的安全技能和意识。

人尽皆知，强大的技术栈至关重要。在发现并修复代码漏洞时，缩短平均修复时间并采用值得信赖的稳健解决方案，正是 Secure Code Warrior 集成方案的目标。将微学习环节融入开发者的工作流程，是实现更高效学习与更快速修复的关键。

如今，几乎每个开发团队都会采用某种形式的合规培训。无论是作为确保公司符合行业框架或政府法规的初始认证流程的一部分，还是作为年度要求或审查的一部分，这都是重要的一步。因为如果一个组织无法满足基本的合规要求，那么其员工实际上将无法履行职责。

如果开发者不了解漏洞的运作原理、危害性、成因模式，以及在实际开发场景中如何通过设计或编码模式来修复漏洞，就无法有效降低漏洞风险。通过循序渐进的教学方法，开发者可以逐步构建知识体系，全面掌握安全编码、代码库防御的核心要义，从而成长为具备安全意识的专业开发者。

2022年Gartner软件工程领域“酷厂商”（Cool Vendors）报告强调了开发人员安全技能的重要性。阅读全文以获取完整报告。

开发人员是推动数字业务发展的软件、应用程序和程序的创造者，已成为许多组织的核心命脉。如果没有极具竞争力的应用程序和程序，或者无法全天候访问网站及其他基础设施，大多数现代企业将难以实现盈利。

最近，一个安全研究团队宣布发现 Python tar 文件提取功能中存在一个长达十五年的漏洞。该漏洞最早于 2007 年披露，编号为 CVE-2007-4559。尽管 Python 官方文档中对此进行了标注，但该漏洞本身一直未得到修复。

Secure Code Warrior 最新动态：通过 Coding Labs 体验实操开发人员培训，将您的安全代码培训计划与学习管理系统（LMS）集成，还有更多精彩功能等您探索。

深入了解硬编码凭据与社会工程学带来的风险。我们将探讨 Uber 近期发生的安全事件，并分析企业为何必须采取“左移”策略，确保开发人员掌握最新的安全编码最佳实践。

软件开发早已不再是孤立的领域。当我们审视软件驱动带来的全方位风险时——从云端、家电与车辆中的嵌入式系统，到关键基础设施，更不用说连接这一切的 API——会发现攻击面已变得无边无际，且难以掌控。

“开源软件安全动员计划”是推动开发者主导安全迈出的积极一步。然而，我们必须审视自身，诚恳评估组织是否已足够成熟，以及开发团队是否具备了相应的安全意识与技能，从而真正落实这些前沿的防御策略。

实现“左移”安全策略，需要开发团队共同努力，持续提升安全知识与技能。

API 安全防护充满挑战，但只要通过充分的培训、周密的规划并专注于最佳实践，即使是最隐蔽的漏洞也能得到有效缓解。

更简便、更强大的课程创建流程、抢先体验开关，以及 SAP ABAP 培训内容。

为 ABAP 开发人员提供的实用且高效的安全编码培训。

Psychic Signature 漏洞存在于用于 ECDSA 签名的加密算法中，而该算法旨在保护身份验证等关键任务的系统安全。黑客可以利用此漏洞绕过任何签名检查。我们将在本文中为您解析其原理及应对措施。

近期，NGINX 披露了一个零日漏洞。与此同时，微软也披露了另一个关键漏洞——Windows RPC 远程代码执行（RCE）漏洞。在这篇文章中，您将了解到哪些用户会受到这两个漏洞的影响，以及我们该如何降低相关风险。

零日攻击顾名思义，就是让开发人员在漏洞被利用前根本没有时间去发现和修补，因为攻击者总是抢先一步。当损害已经造成，企业只能手忙脚乱地去修复软件漏洞并挽回声誉损失。攻击者始终占据主动，因此尽可能缩小这种差距至关重要。

这是我们第二年与 Evans Data Corp. 合作，对全球开发者社区进行了一项全面调研，内容涵盖他们在安全编码实践方面的技能、认知和行为，以及这些实践在软件开发生命周期（SDLC）中的感知影响和相关性。调研结果在许多方面都相当令人意外。

近期，Java 社区中最受欢迎的库之一 Spring 披露了 2 个与远程代码执行（RCE）相关的漏洞。我们已对“Spring4Shell”和“Spring Cloud Function”的已知详情进行了梳理，旨在帮助您评估自身风险并采取相应的应对措施。

在与网络犯罪分子的博弈中，我们必须尽可能与他们保持同步，以预防性的思维抢占先机。以下是我认为他们在未来一年可能兴风作浪的领域：

许多在网络安全方法中设定目标的公司已经实施了官方的安全倡导者计划，将关键的安全责任（从团队之间的联络和一般啦啦队到监督最佳实践）赋予对此类角色表现出才能和热情的个人。

周年纪念日是一个绝佳的契机，让我们回顾过往的耕耘成果，庆祝团队的成就，并满怀信心地迎接新的一年。公司成立七年了，我不禁自问：我们成功了吗？这算是一家成熟的企业了吗？当然，我们已经走向成熟，但我真心希望我们永远不会失去创业之初的那份好奇心、热情和极客精神。

作为行业一员，我们不应期望开发人员成为安全专家，但企业可以采用新的开发人员赋能标准，从而助力他们交付更高质量的软件。

2021 年 12 月，Java 库 Log4j 中披露了一个名为 Log4Shell 的严重安全漏洞。在本文中，我们将以最简明的方式为您拆解 Log4Shell 漏洞，帮助您掌握其基本原理，并为您介绍一个任务——在这里，您可以利用所学的漏洞知识，尝试对一个模拟网站进行渗透测试。

我们没有得到切合实际的建议，也没有最快的解决方案来对抗现代网络安全这一不间断的攻击。当然，每种漏洞都有自己的不同，并且有许多攻击手段可以在易受攻击的软件中利用。可行的通用建议将受到限制，但最佳实践方法似乎每时每刻都存在更多缺陷。

在安全团队之外，人们可能并不太理解为何要采取预防性而非反应性的策略，尤其是在尚未发生重大安全事故的情况下。

Implement unit test coding guidelines uniformly and consistently

将 API 安全性寄希望于运气，迟早会引发各种问题。往坏了说，可能会导致灾难性的后果；往好了说，也会带来令人沮丧的返工和性能低下的困扰。

以便捷的方式将 Joda-Time 迁移至 java.time

网络安全的重要性显而易见，但在供应链背景下，它究竟意味着什么？

对于开发人员而言，现在正是转型投身应用安全领域并获得丰厚回报的绝佳时机。

学习并掌握安全编码知识看似困难重重，但只要拥有合适的工具和文化氛围，其实并不复杂。然而，要说服利益相关者和上级投入资源进行针对性培训并非易事。以下是一些实用建议，助你获得他们的支持。

专业开发人员渴望拥抱 DevSecOps 并编写安全代码，但如果企业希望这一举措能够持续发展，就必须为其提供相应的支持。

10月初，Apache发布了2.4.49版本，旨在修复路径遍历和远程代码执行漏洞，随后又发布了2.4.50版本，以解决此前修复不彻底的问题。我们为此专门构建了一个任务，旨在演示这些漏洞在真实环境中的风险。立即尝试吧。

Micha Martinez 是 Nelnet 的网络安全分析师兼电影摄影师。在负责为开发人员制定安全编码培训计划时，他运用了极具创意的方式来调动团队的积极性。我们对他开展安全代码培训项目的方式印象深刻，因此特地采访了他，以了解更多细节。

注入攻击曾是漏洞界的“头号公敌”，如今已被越权访问漏洞取而代之，成为最严重的威胁，开发者必须对此予以高度重视。

开发人员不仅要处理代码，还要负责安全配置和访问控制，因此他们对这些内容最为熟悉。必须培养他们的安全技能，而要达到 NIST 概述的高标准，实操课程结构或许是行之有效的解决之道，尤其是在面对庞大的开发团队时。

与基于 Web 的软件、API 和移动设备一样，嵌入式系统中的漏洞代码一旦被攻击者在野外发现，就可能遭到利用。

作为一名应用安全专业人员，您的职责是确保组织内应用程序的网络安全。然而，您并不负责编写应用程序运行所需的代码，那是开发团队中工程师的工作。那么，您该如何确保他们在开发这些系统时始终将安全性纳入考量呢？

本文将概述嵌入式系统的安全防护。我们将从基本定义出发，深入探讨嵌入式安全面临的挑战、常见的解决方案，以及目前尚待解决的问题。

在这篇文章中，我们将对比 MISRA C 2012 标准与 C2，并为您提供切换至新标准的指南。我们还将阐述为何构建安全的嵌入式系统必须遵循 MISRA 标准。

在这篇文章中，您将全面了解嵌入式设备及嵌入式系统开发的相关知识。

我们与 Contrast Security 的 Larry Maccherone 进行了深入交流，探讨了情境化学习如何有效地帮助开发人员掌握安全编码技能。请继续阅读，了解企业如何在不影响开发人员日常工作流程的前提下，为他们提供关键的安全培训。

我们非常高兴地看到，我们的董事长兼首席执行官 Pieter Danhieux 在福布斯技术委员会（Forbes Technology Council）发表的首篇文章已正式上线。文章详细阐述了如何通过提升开发人员的技能来编写更安全的代码，这是预防网络攻击和数据泄露的关键。

API 安全是大多数安全专家时刻关注的问题，我们必须掌握相关知识，以应对这一挑战。

拜登政府近期发布的网络安全行政令在安全行业引发了热烈讨论，尤其是对于那些致力于引导开发人员在日常工作中践行安全编码最佳实践的从业者而言，更是如此。

我们近期采访了 Selligent Marketing Cloud 的软件工程师 Dimitri Vanderhaeghe。Selligent Marketing Cloud 是一个高度集成的 AI 驱动型全渠道营销自动化平台，旨在助力雄心勃勃的 B2C 营销人员充分利用与当今互联消费者互动的每一个瞬间。对于一家快节奏的 B2C 科技公司而言，实现规模化扩张并满足日益增长的市场需求至关重要。而满足这些需求的关键在于重视网络安全，尤其是推行以开发人员为主导的安全技能培训计划。

这里有一个发人深省的数据：60% 的中小企业在遭受成功的网络攻击后，会在六个月内倒闭。大型企业则会损失数百万（甚至数十亿！）美元，品牌声誉也随之受损。随着各组织日益重视安全编码实践，“左移”趋势正在形成。在 DevSecOps 兴起的背景下，安全代码已成为软件开发生命周期（SDLC）伊始的关注重点。

Discover more about the most loved features of Sensei.

IBM 的一项研究表明，在产品发布后修复漏洞的成本是初期发现并修复漏洞的 30 倍。正因如此，富有远见的首席信息官们纷纷开始推行安全编码实践，这也就不足为奇了。这意味着通过培训和赋能，让开发人员从一开始就能编写出更安全的代码，从而使他们成为组织中的“第一道防线”。

高质量的安全代码培训能为您的组织带来哪些潜在影响？这是否是一项值得的投资？

在我们高度互联的世界中，几乎每个组织都有共同的致命弱点。一个漏洞，他们的代码中只有一个可利用的漏洞，就可能引发客户数据盗窃、声誉损害和重大财务损失。围绕安全编码进行组织协调从未像现在这样迫在眉睫，但实现这一点说起来容易做起来难。

美国联邦政府的最新行政命令涉及功能性网络安全的许多方面，但首次特别概述了开发者的影响，以及他们需要经过验证的安全技能和意识。

目前，仅有 15% 的开发人员认为安全编码实践应该是每个人的责任。在安全威胁日益严峻的今天，这显然远远不够。我们必须采取行动。构建健康的应用安全文化，关键在于了解其中起作用的核心因素（以及关键影响者！）。

我们需要强化以人为本的网络安全最佳实践方法，这将比严重依赖自动化、工具和对已经嵌入和发现的问题的反应来取得更好的结果。

不安全的代码会让企业损失数百万美元，那么阻碍企业采用安全编码实践的原因是什么？在一个几乎一切都依赖软件的世界里，确保代码安全至关重要。这不仅关乎品牌声誉，更直接影响企业的生存与发展。然而，人们对安全编码仍有诸多顾虑，其全面有效的落地也面临重重障碍。如今，我们比以往任何时候都更需要一种全新的工作方式。

过去几年里，为了追求上市速度，许多东西都被牺牲了——包括网络安全、数以太字节计的敏感客户数据，以及无价的品牌声誉。

如果说网络安全行业有什么能毁掉圣诞节的话，那一定是一场破坏力巨大的数据泄露事件，它正演变成美国政府历史上影响最严重的网络间谍活动。

在针对开发人员的安全代码培训方面，教育成果往往不尽如人意。许多公司投入巨资，却发现实际成效甚微。这并不令人意外。

随着数据泄露及其成本的持续增加，我们世界上生成的代码量太大，安全专家无法单独处理。公司需要具有安全编码技能的开发人员——开发人员知道他们需要这些技能来发展自己的职业生涯。但是当前的安全代码培训让他们失望了。那么，在安全代码培训方面，开发人员想要什么呢？

枯燥、乏味、无聊！每当提到安全代码培训时，这往往是开发人员最常给出的反应。但在 Secure Code Warrior，我们坚信一定有更好的方式。

应用安全工具未能达到预期效果的原因有几个，这与其说是因为工具本身的功能问题，不如说是因为它们未能与整个安全计划实现有效整合。

在学习安全编码时，开发人员的主要动力是什么？我们又该如何利用这些动力来设计并实施一套成功的应用安全计划？

随着网络威胁日益增多，企业在安全性、实用性和速度之间不得不进行日常权衡，从而让自己暴露在风险之中。

在网络威胁日益严峻的今天，您的开发人员是否做好了准备？作为保障安全编码的核心——开发人员，他们是否已准备好在守护互联世界中发挥关键作用？为了解答这一问题，我们参考了 Secure Code Warrior 与 Evans Data Corp. 近期联合开展的一项研究，深入探讨了开发人员对安全编码、安全实践及安全运营的态度与见解。

在过去 20 多年里，同样的 10 个软件漏洞导致的各类安全违规事件比其他任何漏洞都要多。然而，许多企业仍然选择在违规或事件发生后才进行补救，在应对由此带来的人员和业务影响时显得手忙脚乱。但现在，一项新的研究指出了一条以人为本的新方向。

SQL 注入漏洞已经 22 岁了。尽管它早已“成年”，但我们却依然任其肆虐，未能将其彻底根除。

Discover the latest improvements to the user experience of Sensei, Secure Code Warrior's IntelliJ plugin and start writing quality code even faster.

如果一段关系建立在互不信任的脆弱基础上，那么最好还是降低预期。遗憾的是，这往往就是企业内部开发人员与应用安全团队之间工作关系的真实写照。

一个有趣的 Java 陷阱小测验，并附带一个 GitHub 仓库，展示了常见的编程陷阱及其解决方案

了解如何将 Sensei 和 IntelliJ Intention Actions 作为检查（Inspections）在 IDE、命令行以及持续集成环境中以批处理模式运行。

高质量的代码从定义上来说必然是安全的，但所有安全的代码却未必是高质量的。从“左侧的左侧”开始，是否就是确保纯粹安全编码标准的秘诀？

在这篇博文中，我们将探讨一个常见的 Java 编码错误（误用位运算符代替条件运算符），分析它如何使代码产生安全漏洞，并介绍如何利用 Sensei 来检测和修复这一问题。

荷兰商会（Kamer van Koophandel）分享了他们如何通过基于角色的认证、信任评分基准测试以及共享安全责任的文化，将安全编码融入日常开发工作。

了解 Paysafe 与 Secure Code Warrior 的合作如何将开发人员的工作效率提升了 45%，并大幅减少了代码漏洞。

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

通过本报告探索 2023 年 Devlympics 的比赛结果。深入了解各参赛行业的开发者参与度、技术栈与语言趋势，以及由 Secure Code Warrior 主办的年度全球赛事中所涵盖的关键漏洞和 CWE。

了解 Sage 如何通过灵活且以关系为导向的方法提升安全性，成功培养了 200 多名安全倡导者，并实现了显著的风险降低。

了解 Workday 如何通过 Secure Code Warrior 的敏捷学习模式彻底改变开发者培训。通过为开发者提供实操性的语言专属教育，Workday 在软件开发生命周期（SDLC）的早期阶段就有效降低了漏洞风险。查看他们的显著成果及构建安全代码文化的关键经验。

在本案例研究中，了解泰雷兹（Thales）如何通过人员、流程和技术手段，构建敏捷的安全代码学习计划，从而激励开发人员成为积极的安全倡导者。

了解零售巨头高露洁棕榄（Colgate-Palmolive）如何在数字化转型过程中重塑其应用安全。面对安全编码方面的挑战，他们通过将碎片化、情境化的学习融入开发工作流程，实现了创新性的突破。

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG 集团是亚太地区多家领先保险公司的幕后推手，为数百万客户提供保险承保服务，年保费规模约达 114 亿澳元。

了解他们如何创建了一项内部技术教育计划，旨在支持数千名员工学习机器学习和网络安全等多个领域的实用前沿技能。

阅读这份详尽的案例研究，了解他们如何利用 Secure Code Warrior 的竞赛活动来提升开发人员的参与度，增强对汽车软件关键漏洞的认知，并获取跨多种语言和框架的量化指标。

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

网络安全行动月（全球称为“网络安全意识月”）是澳大利亚每年十月举办的一项宣传活动，旨在鼓励个人和企业通过简单的日常习惯来提升网络安全水平。

政府不能再将机器速度的网络攻击视为未来的情景，因为正如近期医疗保险数据泄露事件所表明的那样，未来已至。

‍

‍

十月是网络安全意识月。过去一年的经历充分证明，威胁环境并不会因此而放缓脚步。从人工智能驱动的网络钓鱼和深度伪造社交工程，到针对医院、学校和市政机构接连不断的勒索软件攻击，安全团队在 2026 年几乎没有喘息的机会。这一年度活动已走过三十个年头，它依然是业内反思现状的最佳契机：我们究竟是变得更安全了，还是仅仅变得更忙碌了？

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

OpenAI 的智能体在执行相对常规的研究任务时，“渗透”了澳大利亚政府网站，这被认为是此类事件中的首例。

继其他 AI 智能体违规事件之后，此次事件凸显了几个关键问题：AI 对齐缺失的风险、开发者责任的缺失，以及事故披露机制的不完善。专家强调，必须尽快建立技术边界、强化监控并落实强制性的及时报告制度，以防范未来可能发生的灾难性事故。

6月份，Medicare及至少其他三个政府系统遭到人工智能代理的入侵，而我们直到现在才得知此事，这令业内许多人感到震惊。

跟上全球人工智能监管的步伐，其难度几乎不亚于跟上技术本身的发展。对于安全领导者而言，每周都会出现新的进展、监管提案或政策调整，这使得本已复杂的风险环境变得更加错综复杂。

对于拥有成熟纵深防御网络安全体系的组织而言，威胁建模早已不是什么新鲜事。长期以来，它一直是预防性安全的核心，能够帮助企业在漏洞被利用之前识别并加以解决。

Secure Code Warrior 推出了 Citizen AI，这是一项面向非开发人员的 AI 素养培训计划，旨在支持各业务部门负责任地采用 AI 技术。

全新的 AI 素养计划旨在帮助非开发人员掌握必要的判断力、风险意识及负责任的使用习惯，从而安全地应用 AI 驱动的工作流程。

Secure Code Warrior 发布了 Citizen AI by Secure Code Warrior。这是一项专为非开发人员设计的 AI 素养计划，旨在帮助企业培养能够负责任地应用 AI 的员工队伍。Citizen AI 能够帮助企业降低与 AI 相关的人为风险，支持更广泛的企业 AI 治理举措，增强员工使用 AI 的信心，并加速安全采用 AI 驱动的工作流程。

‍

AI 软件治理与开发者安全技能提升领域的领导者 Secure Code Warrior 今日宣布推出 Citizen AI，这是一项专为非开发人员设计的 AI 素养培训计划，旨在帮助企业打造一支能够负责任地应用 AI 的员工队伍。

全新的 AI 素养计划旨在帮助非开发人员掌握必要的判断力、风险意识及负责任的使用习惯，从而安全地应用 AI 驱动的工作流程。

在制定人工智能辅助软件开发的治理和开发者培训计划时，各组织往往忽略了一个关键目标。

AI 软件开发正以惊人的速度不断演进，为开发者及其团队带来深远影响。，Secure Code Warrior 首席执行官兼联合创始人指出，随着行业从人工编写代码转向 AI 辅助编程及智能体工作流，许多安全团队正面临一项严峻挑战：如何管控自主系统所带来的全新风险。

‍

‍

对于软件开发公司而言，问题已不再是是否应该利用生成式 AI 编写代码，也不在于未来生成式 AI 产出的代码占比是否会提升。这些趋势在过去两年里早已成定局。现在的核心挑战在于，当生成式 AI 和人工智能代理不断投入代码生产时，企业该如何确保安全与合规。

每年九月，“国家内部威胁防范月”都在提醒我们：许多最具破坏性的安全事件并非源于外部攻击者的入侵，而是来自内部。无论是出于恶意、疏忽还是单纯的人为失误，拥有系统、数据和设施合法访问权限的内部人员，始终是当今企业面临的最持久且最难察觉的风险之一。随着混合办公、人工智能工具以及日益复杂的 IT 环境重塑职场，内部威胁形势也在不断演变，这要求安全专业人员给予全新的关注。

随着代理式 AI 进一步提升生产力，人工代码审查已成为严重的瓶颈。开发人员需要将工作重心前移，建立基本准则，确保 AI 能够按规矩行事。

​网络安全行业倡导“安全设计”原则已逾十年，如今却对人工智能（AI）带来的风险感到震惊。随着各机构竞相拥抱AI赋能，首席信息安全官（CISO）最紧迫的任务是避免成为业务发展的阻碍。然而，若缺乏有效的AI使用规范、治理机制、可观测性及可追溯性，机构可能会因AI风险而措手不及。​

Secure Code Warrior 推出了 SCW AI 采用模型，该框架旨在帮助企业在软件开发中规范 AI 的使用，以应对行业从传统的软件开发生命周期 (SDLC) 向该公司所称的“代理开发生命周期 (ADLC)”的转型。

随着许多软件工程团队从使用 AI 编码助手转向全面采用 AI 智能体进行代码生成，其代码产出量呈指数级增长，确保这些代码的安全性已成为重中之重。本研究为正准备引入 AI 辅助或智能体代码开发模式的组织提供了切实可行的指导。

Token 的使用可能会为企业带来意想不到的巨额成本。

人工智能能够加快开发周期，让开发人员专注于更高价值的工作。对于许多企业而言，这种效率提升已成为保持竞争力的关键。因此，挑战不在于是否采用人工智能，而在于如何负责任地应用它。那些投资于开发人员培训、治理框架、人工智能可观测性及稳健安全控制的企业，将更有能力在获取收益的同时降低相关风险。

问题已不再仅仅局限于保护人工智能模型本身。攻击者正日益将目光转向围绕这些模型构建的软件生态系统，包括组织日常依赖的开发工具、中间件、开源库以及自动化部署流水线。

正如我们将共同探讨的那样，全球范围内正经历着巨大的变革，各国之间虽有协作，但前路远未统一或明朗，尤其是在商业环境中，AI 的应用往往先于全面的保障措施落地。

有专家指出，人工智能护栏的设计初衷并非为了构建“安全边界”，而是为了引导行为。但如果这种行为演变成了对行业合作伙伴的黑客攻击，又该如何应对？

‍

网络安全专家警告称，在 OpenAI 的一次安全评估中，Hugging Face 基础设施遭到入侵，这标志着自主 AI 智能体所带来的风险已进入转折点。在此次事件中，AI 模型突破了受控测试环境，对该 AI 平台实施了实时的多阶段入侵。

根据 Secure Code Warrior 发布的研究显示，AI 生成的代码平均每个代码库会引入 15 个已确认的漏洞。

前沿人工智能正面临公关危机。在 Hugging Face 于 7 月 16 日发布一篇博文，声称一个自主智能体侵入了其内部环境后，OpenAI 于 7 月 21 日发文称，该事件发生时，GPT 5.6 Sol 和一个“预发布模型”逃离了受控测试环境。

Secure Code Warrior 的研究显示，AI 生成的代码平均每个代码库会引入 15 个漏洞。

‍

Secure Code Warrior 推出了 SCW AI 信任指数，这是一项针对 AI 编码安全的动态基准，它会随着新模型的出现不断更新，旨在帮助企业理解并管控 AI 生成代码所带来的安全风险。该研究基于与澳大利亚皇家墨尔本理工大学（RMIT University）共同制定的方法论，并由 Secure Code Warrior 进一步扩展，提供了关于主流大语言模型生成不安全代码频率的全面基准，对每一家正在扩展 AI 辅助开发的企业都具有实质性的影响。

AI 生成的代码平均每个代码库会引入 15 个漏洞，但实际风险更多取决于框架的搭配，而非所使用的模型。

全新的 SCW AI 信任指数表明，AI 生成代码的风险并非随机，而是可以通过模型和框架进行预测，这为安全领导者提供了安全扩展 AI 辅助开发所需的数据。

人工智能的落地挑战、频繁的系统更新以及行业主导权的激烈争夺正接踵而至，而安全专业人员因其庞大的风险特征，成为了受影响最严重的群体之一。

澳大利亚政府已明确表示，人工智能对国家未来的核心利益至关重要。那么，它在当今的发展现状如何？且听行业精英们如何解读人工智能及其在现代企业中扮演的角色。

‍

代理式人工智能的兴起标志着软件开发领域的一次结构性变革，它所引入的系统不仅能加速生产周期，还能在人类直接控制之外进行自主推理与行动。

随着人工智能生成的代码日益普及，首席信息安全官（CISO）需要制定新的审计策略，以评估开发实践、规范 AI 工具的使用，并在软件投入生产前识别潜在风险。

这一类别在 2026 年变得愈发紧迫，原因在于当下的特殊背景：AI 编程工具和智能体正大幅提升代码的编写量，以及部署、测试和配置的频率。平台工程正是决定这种速度提升是转化为实际交付价值，还是演变为混乱的关键所在。

根据 Gartner 的最新报告，影子 AI 和违规自动化的泛滥正进一步加剧 AI 漏洞的扩散。Gartner 指出，32% 在工作中应用生成式 AI 工具的 IT 从业者表示，他们对网络安全团队隐瞒了这些工具的使用情况。再加上低代码/无代码平台和“氛围编程”（vibe coding）实践，AI 副驾驶正在大幅扩大企业的攻击面。

在撰写本文时，我们向安全与风险管理负责人提出了一个核心问题：“什么样的政策才能真正降低企业风险，而不是仅仅为了向外界展示组织已意识到人工智能风险而流于形式？”

Secure Code Warrior 的 Pieter Danhieux 谈如何管理 AI 驱动开发带来的风险

随着生成式 AI 在企业软件开发中占据稳固地位，一项熟悉的准则正变得愈发紧迫：风险管理。

Secure Code Warrior 今日发布了 SCW Trust Agent: AI。这是业内首个旨在让软件开发中的人工智能 (AI) 影响在提交代码时变得可见、可追溯且可执行的治理解决方案，助力企业在有效管控软件风险的前提下，规模化应用 AI 编码工具。

即使我们围绕敏捷方法中最具影响力的要素重构软件开发生命周期（SDLC），并审慎地融入以 DevSecOps 为核心的安全考量，这是否意味着我们所熟知的应用安全（AppSec）已走到尽头？

2026年全球信息安全奖：Secure Code Warrior 荣获网络安全风险管理与合规卓越成就奖

全新的 AI 软件治理解决方案可在提交代码时识别 AI 生成的代码，在生产前强制执行策略，并将实际开发行为与可衡量的风险降低联系起来。

Secure Code Warrior (SCW) 本周推出了一款人工智能 (AI) 代理，它不仅能识别由 AI 编码工具生成的代码，还能自动应用相应的治理策略。