2025 年度软件供应链安全态势分析报告

杭州孝道科技有限公司（安全玻璃盒）2026-06-1867 页

报告概述

本报告系统分析2025年软件供应链安全态势，覆盖全球攻击态势、开源生态风险、CI/CD管道安全及AI/ML供应链风险。采用威胁情报分析、漏洞挖掘与安全事件溯源等方法，结合国内外权威机构数据，呈现完整安全图景。报告旨在帮助企业识别威胁、理解攻击技术演进，并提供从成熟度评估到建设路线的实践指南。

2025年全球75%的组织遭受过软件供应链攻击，第三方相关数据泄露占比从2024年的15%攀升至30%，供应链攻击导致的数据泄露平均成本达491万美元，位居各类攻击之首。

全年识别投毒包突破56,000个，NPM平台占比超70%，平均每个软件项目存在66个已知开源漏洞，73%的项目含高危漏洞。2025年9月NPM史上最大规模攻击劫持了18个核心包，周下载量超26亿次。

多起重大事件中攻击者利用AI生成钓鱼邮件和恶意代码，Shai-Hulud蠕虫实现自主扩散，GitHub Actions标签投毒影响超23,000个仓库。攻击从手工制作转向自动化批量生产，效率与隐蔽性大幅提升。

中国《网络安全法》2025年首次重大修订，推进供应链安全监管；美国CISA发布SBOM更新草案；欧盟NIS2指令和《网络弹性法案》生效，强制要求SBOM、安全审计等。

约70%企业SLSA成熟度处于Level 0-1，缺乏组件可见性和漏洞管理流程；不到30%企业建立完整漏洞生命周期管理；面对AI驱动的新型攻击，传统工具检测能力不足。

报告指出三大主要威胁：一是开源生态投毒产业化，全年检测到超100亿次恶意包下载尝试；二是AI赋能攻击成为新常态，攻击者利用大模型自动化生成恶意代码与钓鱼页面；三是CI/CD管道脆弱性突出，标签投毒、凭证泄露等攻击影响广泛。

AI使攻击更精准、高效。攻击者利用AI生成高度仿真的钓鱼邮件和登录页面（如NPM攻击），用自动化工具批量生产恶意包（如IndonesianFoods行动创建超15万个包），还通过深度学习实现恶意代码的隐蔽植入和自动传播（如Shai-Hulud蠕虫）。

报告建议从五个维度入手：部署SCA工具实现组件可见性，建立SBOM管理机制，实施SLSA框架提升构建安全，集成AI驱动检测平台对抗智能化攻击，并制定供应链安全应急预案。同时需从短期（0-6个月）到长期（18个月以上）分步推进。

SBOM（软件物料清单）是供应链透明化的基础。它详细记录所有组件信息，使企业能快速定位漏洞影响范围、评估风险并触发修复。2025年CISA更新草案强调提升SBOM机器可处理性，中国国标GB/T 47020-2026也将于2026年实施，SBOM正从合规要求升级为安全基础设施。

现代软件中开源代码占比超75%，企业项目100%使用开源组件，且平均每个项目依赖超500个开源组件。攻击者利用供应链“信任链”特性，通过投毒、劫持维护者账号等手段植入恶意代码，一次攻击可影响海量下游用户。2025年NPM投毒包占比超70%，PyPI及HuggingFace成为新兴攻击阵地。

75%

2025年，Gartner研究报告显示，2025年全球75%的组织已遭受软件供应链攻击，远超此前预测的45%。

491万美元

2025年，IBM《2025年数据泄露成本报告》显示，供应链攻击导致的数据泄露平均成本为491万美元，位居各类攻击之首。

56,000个

2025年，孝道科技供应链安全威胁情报中心监测，2025年全年识别开源投毒包超56,000个，日均新增超200个，较2024年增幅超50%。

以上数据根据报告摘要整理，具体统计口径和数值请以完整报告原文为准。

典型案例深度分析：详细剖析Shai-Hulud npm蠕虫、NPM史上最大规模供应链攻击、GitHub Actions标签投毒等2025年重大事件，包括攻击代码分析与影响评估。
软件供应链安全防护体系：涵盖SCA工具对比、SBOM标准与管理、SLSA框架分级，以及孝道科技AI驱动的全链路解决方案（智慧大脑、源头管控、全维检测、运行防护、态势感知）。
企业软件供应链安全建设路径：提供安全成熟度评估模型（五大维度、五级等级）、分阶段建设路线图（短期至长期）及投资回报分析（包括各类措施的ROI数据）。
2026年展望与建议：预测AI赋能攻击增长100%以上、AI/ML供应链成为热点、法规合规加强等趋势，并给出六大企业行动建议。
附录内容：软件供应链安全检查清单（6类50项）、金融/互联网/制造业行业最佳实践案例、主流技术与工具推荐（SCA、SBOM、恶意包检测、CI/CD安全）、DevSecOps实施指南（含全流程工具链）。
未来技术发展趋势：探讨AI赋能安全（大模型驱动漏洞检测等）、SBOM生态标准化与互操作性、零信任架构与供应链安全融合、量子计算对加密的威胁及后量子密码迁移。

本页内容由川海智库整理，用于帮助读者快速了解报告主题、核心观点和主要内容。由于报告量大、人工能力有限，部分观点、数据、统计口径或表述可能存在偏差，具体内容请以完整报告原文为准。