軟件供應(yīng)鏈安全的戰(zhàn)場(chǎng)正在前移。過去，安全團(tuán)隊(duì)緊盯代碼倉庫、構(gòu)建系統(tǒng)和流水線管道；如今，攻擊者已將目光投向開發(fā)者日常工作的起點(diǎn)——筆記本電腦。

GitGuardian的最新研究揭示了這一轉(zhuǎn)變的緊迫性。2026年4月，該機(jī)構(gòu)在48小時(shí)內(nèi)追蹤到三起針對(duì)npm、PyPI和Docker Hub的供應(yīng)鏈攻擊。三起事件技術(shù)手段各異，但目標(biāo)高度一致：竊取開發(fā)者環(huán)境或CI/CD流水線中的有效憑證。

其中一起npm攻擊尤為典型。惡意包利用postinstall鉤子竊取發(fā)布令牌，繼而用該權(quán)限傳播感染更多包。另一起PyPI攻擊則直接收割SSH密鑰、云憑證、環(huán)境變量和加密錢包。攻擊者無需利用軟件漏洞或維持長(zhǎng)期潛伏，僅憑竊取的認(rèn)證信息即可橫向移動(dòng)。

現(xiàn)代開發(fā)工作站的攻擊面遠(yuǎn)超想象。源代碼、包管理器、云賬戶、注冊(cè)表令牌、SSH密鑰、服務(wù)賬戶、構(gòu)建腳本、AI編程助手、終端、本地緩存、環(huán)境文件——憑證在這些環(huán)節(jié)被創(chuàng)建、復(fù)制、測(cè)試、記錄，也常常被遺忘。一處暴露的令牌可能成為貫穿交付流程多層防御的橋梁。

這意味著傳統(tǒng)安全模型的失效。等到代碼進(jìn)入遠(yuǎn)程倉庫或流水線時(shí)再介入，憑證可能已散落于Git歷史、模型提示詞、本地日志、構(gòu)建產(chǎn)物或包安裝腳本中?？刂泣c(diǎn)必須前移至軟件創(chuàng)建的更早階段——在開發(fā)者敲擊鍵盤的當(dāng)下就建立防護(hù)。