擴大 AI 的安全指導、合作關係及研究，以幫助縮小 AI 驅動開發與軟體安全之間的差距

鹽湖城，2026年11月9日 / PRNewswire / -- 開源安全基金會（Open Source Security Foundation，簡稱 OpenSSF）今日宣佈會員規模進一步擴大，歡迎 Beautiful Majestic Dolphin、DevGuard 和 UElement Technologies 加入基金會。OpenSSF 是 Linux 基金會旗下的一个跨行業倡議，專注於以可持續的方式提升開源軟體的安全性。

OpenSSF 也表示，已啟動並擴展多項工作，幫助各組織在 AI 時代保障軟體安全，包括加入多組織安全 AI 協調組織（Multi - Organization Secure AI Coordination，MOSAIC）以提升 AI 安全，發布一份利用 AI 發現和修復漏洞的新指南，以及推出關於 AI 對軟體安全影響的新研究。

AI 正在重新定義軟件開發生命週期（SDLC）。這不僅影響代碼產出的速度，也影響漏洞被發現和報告的速度——對於攻擊者和防禦者來說都是如此。隨著漏洞更容易被發現，以及在歐盟《網絡韌性法案》（CRA）等法規下報告時間窗口的縮短，各組織需要清晰、實用的指導，來了解如何運用AI來保障軟件安全。OpenSSF 表示，將繼續作爲AI安全教育、協作以及開源軟件安全領域值得信賴且中立的樞紐。

OpenSSF 的 AI / ML / LLM / Agentic Systems 安全架構師 Laura Guazzelli 表示：「安全必須跟上市這個新的軟體開發生命週期。這個新的 SDLC 已經大幅縮短了從漏洞發現到自動化攻擊之間的時間間隔，暴露出了那些尚未為 AI 驅動威脅和進攻行動做好準備的防禦體系。這就是為何我們專注於為開發者提供實用資源，從利用 AI 發現和修復漏洞的指導，到關於 AI 如何塑造軟體開發的新數據。」

OpenSSF 表示，新加入的成员包括 Beautiful Majestic Dolphin、DevGuard 和 UElement Technologies，他們將以普通會員身份加入基金會。這些組織將加入由工作組、技術小組和專家組成的社群，共同塑造 OpenSSF 和軟體安全的未來。基金會稱，這些會員的加入強化了開源及對現代基礎設施至關重要的項目的長期可持續性。

基金會2026年第四季度成果

• OpenSSF 加入 MOSAIC —— 加入 MOSAIC 後，OpenSSF 與 MOSAIC 的成員可以彙集知識和資源，以形成一致的 AI 安全標準和指導。該組織的一項主要目標是建立參與倡議的標準化映射，其中包括與 NIST SP 的 800-53 控制項 SC-42 等其他倡議保持一致、在現有框架基礎上繼續建設、就 MOSAIC 的定義形成普遍共識等。
• 《2026年AI對軟件安全與網絡安全影響現狀》報告 —— 這項由 OpenSSF、ActiveState 和 LF AI & Data Foundation 支持的研究發現，由 AI 驅動的軟件開發速度，與組織保障所產生代碼安全的能力之間，出現了不斷擴大的差距：58% 的受訪團隊表示，代碼交付速度超過了安全審查所能跟上的速度；60% 表示，AI 编碼助手增加了其代碼庫中的外部軟件包數量。該數據凸顯出，在 AI 部署持續增長之際，可信、可靠指導的重要性。
• Secure AI Associate （ SAIA ）認證 —— OpenSSF 與 Linux Foundation Education 正在推出 Secure AI Associate（SAIA）認證。這一新的認證將幫助學習者掌握在完整的 AI / ML 生命週期中發現和修復安全風險的技能，涵蓋從訓練數據到生產線的各個環節。該認證將於 2026 年 12 月推出，有興趣者可登記以接收考試開放通知。
• 利用 AI 發現和修復漏洞的新指南 – OpenSSF 最佳實踐工作組和 AI / ML 工作組發布了《利用 AI 發現和修復軟體漏洞：開發者指南》（Finding and Fixing Software Vulnerabilities Using AI : A Guide for Developers）。這是一份面向開發者和安全研究人員的免費指南，介紹如何利用 AI 在攻擊者利用漏洞之前發現並修復問題。該指南建立在不依賴單一工具的原則之上，涵蓋從 AI 的準備和沙箱隔離，到驗證、修復和預防問題的完整流程，并強調：未經自動化測試和人工審查，不應信任 AI 生成的補丁。未來數月還計劃推出一門在線課程（LFD126）。
• 案例研究：GitHub 將惡意軟件通報擴展至八個生態系統 —— 一項新的案例研究顯示，GitHub已將OpenSSF的惡意軟件包數據整合進其Advisory Database，使得Dependabot的惡意軟件警報從npm擴展到八個軟件包生態系統，包括PyPI、Maven、RubyGems、NuGet、Go、crates.io和PHP Composer。這個由社區驅動的倉庫目前已收錄超過23.8萬份惡意軟件包報告，顯示了共享、開放數據如何幫助防禦者跟上班速演變的供應鏈攻擊。
• Zarf 1.0 象徵著 OpenSSF 的一個重要里程碑 —— 此版本幫助團隊在與互聯網隔離的環境中打包和部署軟件。1.0版本強化了軟件包簽名和驗證流程，改善了配置管理，並為長期兼容性和社區驅動開發奠定了基礎。

支持性引述

ActiveState 首席執行官 Abby Kearns 表示：「掃描會告訴你哪裡出了問題。而知道你的軟體來自哪裡，則會告訴你它從一開始是否就值得信任。」ActiveState 從經過驗證的源代碼構建開源軟體，讓安全成為默認選項，而加入 OpenSSF 是讓所有基於開源構建的人都能實現這一點的自然下一步。」

Beautiful Majestic Dolphin 首席执行官 Shane Morris 表示：「我們認為，您應該能夠判斷事情為何會發生。誰、什麼、何時、何地、如何？這些問題相對容易理解，但『為何』是網絡安全中最難的部分之一。這就是為何我們將 GoRapide 以 MIT 许可證開源。我們知道自己為何要為客戶構建產品，但歸根結底，我們無法知道每個人提出『為何？』時背後的所有原因。對我們來說，加入開源安全基金會是合乎情理的舉動，因為開源是我們公司使命不可或缺的一部分。」

DevGuard – L3montree GmbH 首席技術官 Tim Bastin 表示：「我們打造開源 DevGuard，是為了讓安全軟件開發成為默認狀態，而非例外。我們已經在使用 OpenSSF 的項目和數據，幫助用戶保護其整個軟件開發生命週期，因此加入 OpenSSF 是很自然的一步。我們很自豪能成為塑造開源安全未來的社群一員，并期待作出回饋。」

UElement Technologies 聯合創始人兼首席執行官 Chaitanya Vijay Ghate 表示：「開源是構建全球數字經濟的共同基礎，而印度如今已經成為其中最大的建設者之一。維護這一基礎的安全，不是一家公司或一個國家的責任；這是我們所有人的責任。」 UElement 加入 OpenSSF，是為了幫助它成爲現在值得信賴的技術，在未來具備量子安全能力，從而讓人們所依賴的系統——從銀行到公共基礎設施——能夠以開放的方式構建，并在任何地方獲得信任。

活動與聚會

OpenSSF 表示，其成員本周正在鹽湖城參加 Open Source SecurityCon North America，並在線下參加 KubeCon + CloudNativeCon North America（11月9日至12日）。有意在2027年參加 OpenSSF 活動的人士，可關注計劃於2027年3月15日舉行的 Open Source SecurityCon Europe。

更多資源

• 查看 OpenSSF 完整會員名單
• 參與一個或多個進行中的 OpenSSF 工作組和項目
• 訂閱 OpenSSF 新聞通訊，接收即將舉行的活動、資源和社區新聞更新

關於 OpenSSF

開源安全基金會（OpenSSF）是Linux基金會旗下的跨行業組織，匯聚了業界最重要的開源安全倡議，以及支持這些倡議的個人和企業。OpenSSF致力於協作，並與上游及現有社區共同推進開源安全發展。更多信息請訪問openssf.org。

關於 Linux 基金會

Linux 該基金會是全球領先的开源軟件、硬件、標準和數據協作平台。Linux 基金會旗下的項目包括 Linux、Kubernetes、Model Context Protocol（MCP）、OpenChain、OpenSearch、OpenSSF、OpenStack、PyTorch、Ray、RISC-V、SPDX 和 Zephyr，這些項目為全球基礎設施提供了支撐。Linux 基金會專注於運用最佳實踐，並滿足貢獻者、用戶和解決方案供應商的需求，以創造可持續的開放協作模式。更多信息請訪問 linuxfoundation.org。

Linux 基金會已註冊並使用相關商標。有關 Linux 基金會的商標列表，請參見其商標使用頁面：www.linuxfoundation.org / trademark-usage。Linux 是 Linus Torvalds 的註冊商標。

媒體聯絡人

__BJW_BOLOKA_00001__