扩大 AI 安全指导、合作关系和研究，以帮助缩小 AI 驱动开发与软件安全之间的差距

盐湖城，2026年11月9日 /PRNewswire/ -- 开源安全基金会（Open Source Security Foundation，简称 OpenSSF）今日宣布会员规模进一步扩大，欢迎 Beautiful Majestic Dolphin、DevGuard 和 UElement Technologies 加入基金会。OpenSSF 是 Linux 基金会旗下一个跨行业倡议，专注于以可持续方式提升开源软件安全。

OpenSSF 还表示，已启动和扩展多项工作，帮助各组织在 AI 时代保障软件安全，包括加入多组织安全 AI 协调组织（Multi-Organization Secure AI Coordination，MOSAIC）以提升 AI 安全，发布一份利用 AI 发现和修复漏洞的新指南，以及推出关于 AI 对软件安全影响的新研究。

AI 正在重新定义软件开发生命周期（SDLC）。它既影响代码产出的速度，也影响漏洞被发现和报告的速度——无论是对攻击者还是防御者而言都是如此。随着漏洞更容易被发现，以及在欧盟《网络韧性法案》（CRA）等法规下报告窗口缩短，各组织需要清晰、实用的指导，来了解如何利用 AI 保障软件安全。OpenSSF 表示，将继续作为 AI 安全教育、协作以及开源软件安全领域值得信赖且中立的枢纽。

OpenSSF 的 AI/ML/LLM/Agentic Systems 安全架构师 Laura Guazzelli 表示：“安全必须跟上这一新的软件开发生命周期。这个新的 SDLC 已将漏洞发现到自动化攻击之间的窗口大幅压缩，暴露出那些尚未为 AI 驱动威胁和进攻行动做好准备的防御体系。这就是为什么我们专注于为开发者提供实用资源，从利用 AI 发现和修复漏洞的指导，到关于 AI 如何塑造软件开发的新数据。”

OpenSSF 表示，新加入的成员包括 Beautiful Majestic Dolphin、DevGuard 和 UElement Technologies，它们将以普通会员身份加入基金会。这些组织将加入由工作组、技术小组和专家组成的社区，共同塑造 OpenSSF 和软件安全的未来。基金会称，这些成员的加入强化了开源及对现代基础设施至关重要项目的长期可持续性。

基金会 2026 年第四季度成果

• OpenSSF 加入 MOSAIC —— 加入 MOSAIC 后，OpenSSF 与 MOSAIC 成员可以汇集知识和资源，以形成一致的 AI 安全标准和指导。该组织的一项主要目标是建立参与倡议的标准化映射，其中包括与 NIST SP 800-53 控制项 SC-42 等其他倡议保持一致、在现有框架基础上继续建设、就 MOSAIC 定义形成普遍共识等。
• 《2026 年 AI 对软件安全与网络安全影响现状》报告 —— 这项由 OpenSSF、ActiveState 和 LF AI & Data Foundation 支持的研究发现，AI 驱动的软件开发速度，与组织保障所产出代码安全的能力之间，正出现不断扩大的差距：58% 的受访团队表示，代码交付速度快于安全审查所能跟上的速度；60% 表示，AI 编码助手增加了其代码库中的外部软件包数量。该数据凸显出，在 AI 部署持续增长之际，可信、可靠指导的重要性。
• Secure AI Associate（SAIA）认证 —— OpenSSF 与 Linux Foundation Education 正推出 Secure AI Associate（SAIA）认证。这一新认证将帮助学习者掌握在完整 AI/ML 生命周期中发现和修复安全风险的技能，覆盖从训练数据到生产流水线的各个环节。该认证将于 2026 年 12 月推出，有兴趣者可登记接收考试开放通知。
• 利用 AI 发现和修复漏洞的新指南 —— OpenSSF 最佳实践工作组和 AI/ML 工作组发布了《利用 AI 发现和修复软件漏洞：开发者指南》（Finding and Fixing Software Vulnerabilities Using AI: A Guide for Developers）。这是一份面向开发者和安全研究人员的免费指南，介绍如何利用 AI 在攻击者利用漏洞之前发现并修复问题。该指南建立在不依赖单一工具的原则之上，覆盖从 AI 的准备和沙箱隔离，到验证、修复和预防问题的完整流程，并强调：未经自动化测试和人工审查，不应信任 AI 生成的补丁。未来数月还计划推出一门在线课程（LFD126）。
• 案例研究：GitHub 将恶意软件通告扩展至八个生态系统 —— 一项新的案例研究显示，GitHub 已将 OpenSSF 的恶意软件包数据整合进其 Advisory Database，使 Dependabot 的恶意软件警报从 npm 扩展到八个软件包生态系统，包括 PyPI、Maven、RubyGems、NuGet、Go、crates.io 和 PHP Composer。这个由社区驱动的仓库目前已收录超过 23.8 万份恶意软件包报告，显示共享、开放数据如何帮助防御者跟上快速演变的供应链攻击。
• Zarf 1.0 标志着 OpenSSF 的一个重要里程碑 —— 这一版本帮助团队在与互联网隔离的环境中打包和部署软件。1.0 版本强化了软件包签名和验证流程，改进了配置管理，并为长期兼容性和社区驱动开发奠定了基础。

支持性引述

ActiveState 首席执行官 Abby Kearns 表示：“扫描会告诉你哪里出了问题。而知道你的软件来自哪里，则会告诉你它从一开始是否就值得信任。ActiveState 从经过验证的源代码构建开源软件，使安全成为默认选项，而加入 OpenSSF 是让所有基于开源构建的人都能实现这一点的自然下一步。”

Beautiful Majestic Dolphin 首席执行官 Shane Morris 表示：“我们认为，你应该能够判断事情为什么会发生。谁、什么、何时、何地、如何？这些问题都相对容易理解，但‘为什么’是网络安全中最难的部分之一。这就是为什么我们将 GoRapide 以 MIT 许可证开源。我们知道自己为什么为客户构建产品，但归根结底，我们无法知道每个人提出‘为什么？’时背后的所有原因。对我们来说，加入开源安全基金会是合理之举，因为开源是我们公司使命不可或缺的一部分。”

DevGuard – L3montree GmbH 首席技术官 Tim Bastin 表示：“我们打造开源 DevGuard，是为了让安全软件开发成为默认状态，而不是例外。我们已经在使用 OpenSSF 的项目和数据，帮助用户保护其整个软件开发生命周期，因此加入 OpenSSF 是很自然的一步。我们很自豪能成为塑造开源安全未来的社区一员，并期待作出回馈。”

UElement Technologies 联合创始人兼首席执行官 Chaitanya Vijay Ghate 表示：“开源是全球数字经济建立其上的共同基础，而印度如今已成为其中最大的建设者之一。维护这一基础的安全，不是某一家公司或某一个国家的工作；这是我们所有人的责任。UElement 加入 OpenSSF，是为了帮助它在今天值得信赖，并在未来具备量子安全能力，从而让人们所依赖的系统——从银行到公共基础设施——能够以开放方式构建，并在任何地方获得信任。”

活动与聚会

OpenSSF 表示，其成员本周正在盐湖城参加 Open Source SecurityCon North America，并在线下参加 KubeCon + CloudNativeCon North America（11 月 9 日至 12 日）。有意在 2027 年参加 OpenSSF 活动的人士，可关注计划于 2027 年 3 月 15 日举行的 Open Source SecurityCon Europe。

更多资源

• 查看 OpenSSF 完整会员名单
• 参与一个或多个正在进行中的 OpenSSF 工作组和项目
• 订阅 OpenSSF 新闻通讯，接收即将举行的活动、资源和社区新闻更新

关于 OpenSSF

开源安全基金会（OpenSSF）是 Linux 基金会旗下的跨行业组织，汇聚了业界最重要的开源安全倡议，以及支持这些倡议的个人和企业。OpenSSF 致力于协作，并与上游及现有社区共同推进开源安全发展。更多信息请访问 openssf.org。

关于 Linux 基金会

Linux 基金会是全球领先的开源软件、硬件、标准和数据协作平台。Linux 基金会旗下项目包括 Linux、Kubernetes、Model Context Protocol（MCP）、OpenChain、OpenSearch、OpenSSF、OpenStack、PyTorch、Ray、RISC-V、SPDX 和 Zephyr，这些项目为全球基础设施提供基础。Linux 基金会专注于利用最佳实践，并满足贡献者、用户和解决方案提供商的需求，以创建可持续的开放协作模式。更多信息请访问 linuxfoundation.org。

Linux 基金会已注册并使用相关商标。有关 Linux 基金会商标列表，请参见其商标使用页面：www.linuxfoundation.org/trademark-usage。Linux 是 Linus Torvalds 的注册商标。

媒体联系人

Grace Lucier