Chainguard工程师Patrick Smyth谈AI时代开源安全：利用SLSA与Sigstore应对攻击
Chainguard的Patrick Smyth在节目中探讨了前沿AI如何改变网络攻击的经济性，导致漏洞利用往往先于补丁发布。他分析了供应链恶意软件浪潮、为何30天修复窗口失效，并提出了包括冷却期、快速CVE修复以及使用SLSA和Sigstore进行签名在内的防御策略。
在AI技术快速发展的背景下，网络安全攻防格局正在发生深刻变化。Chainguard的Patrick Smyth在一期关于开源安全的访谈中，深入探讨了前沿AI如何使攻击者变得更加危险，以及这种变化对传统安全响应机制带来的挑战。
Smyth指出，当前一个显著的趋势是“漏洞利用往往先于补丁”。由于AI辅助工具降低了发现和开发漏洞的成本，传统的30天修复窗口已不再适用。他回顾了今年出现的AI辅助攻击和供应链恶意软件浪潮，强调了这些新型威胁对开源基础设施构成的系统性风险。
针对这一现状，Smyth提出了需要覆盖的四个主要攻击面：恶意软件、已知CVE、零日漏洞以及CI/CD、开发者笔记本电脑和代理技能等“侧门”入口。他建议采取更积极的防御措施，包括实施冷却期以减缓自动化攻击速度，加快CVE修复流程，以及通过SLSA（Supply-chain Levels for Software Artifacts）和Sigstore对所有构建产物进行签名，以确保供应链的完整性。
此外，节目还讨论了如何加固代理技能（agent skills），这是随着AI代理普及而出现的新攻击向量。对于关注开源安全和云原生基础设施的专业人士而言，这期节目提供了来自一线实践者的具体应对策略和技术视角。