这份演讲聚焦AI 时代开源软件管理，基于 2024。11-2025。10 对 947 个贸易代码库、2843 个项目标审计，开源平安、合规、运维三大维度的风险激增，AI 辅帮开辟是焦点驱动要素。代码库复杂度飙升：单个使用平均组件 1180 个（同比 + 30%），代码库平均文件 8。4 万个（五年翻四倍）。AI 编码普及：67% 组织已用 AI 编码帮手，利用的企业中 76% 开辟人员违规私用，构成 “影子 AI”。缝隙大幅增加：单个代码库平均缝隙 581 个（同比 + 107%），87% 代码库含缝隙，78% 含高风险缝隙。缝隙激增缘由：组件数量添加、AI 保举常用库、开辟速度加速、Linux 内核成为 CVE 机构致缝隙披露暴增。供应链严峻：65% 组织一年内供应链，npm 生态成沉灾区，恶意包占比 66%，包劫持占 34%。AI 模子新风险：49% 组织将开源 AI 模子纳入产物，存正在躲藏嵌入、许可恍惚、监管合规等新面。冲突率爆表：68% 代码库存正在许可冲突（同比 + 12%），单个代码库最大冲突数 2675 个（同比 + 141%）。AI 加剧风险：AI 生成代码易引入性许可（如 GPL），存正在 “许可洗白”，仅 24% 组织全面评估 AI 代码合规性。组件遍及过时：93% 代码库含 2 年无更新的 “僵尸组件”，92% 含 4 年以上老旧组件，仅 7% 组件为最新版本。欧盟 CRA 强监管：2026 年 9 月起强制缝隙 24 小时演讲、要求 SBOM、五年平安支撑期，不合规将沉罚，老旧组件间接触发合规风险。环节结论：AI 沉塑软件开辟，开源风险（平安、运维）全面迸发，保守平安东西无法适配 AI 时代。组织必备能力：深度组件检测、CVE 外缝隙谍报、全链许可可视化、组件运维、AI 工做流集成、AI 模子风险管控。处理方案：通过 SCA 做深度开源阐发、Polaris 同一平安平台、Assist 供给 AI 修复指点、Signal 实现 AI 原生上下文平安阐发！