2026年3月23日，旧金山，莫斯康中心（Moscone Center）。当 Geordie AI 捧起 RSAC2026 创新沙盒冠军奖杯时，台下的掌声掩盖不住全球安全人的焦虑：安全已正式进入 “Agentic AI” 统治的无人区。最令人恐惧的不再是代码，而是那些在企业内网自主决策、却处于“监管真空”的AI 数字员工。

2025-2026年，AI供应链攻击呈现爆发式增长。2025年识别投毒包56,928个，总量较2024年（约3.6万个）显著提升58%HuggingFace平台超过940个模型文件被投毒MCP Server、Agent Skill等新型资产成为供应链攻击的新载体传统安全工具对这些新型威胁几乎无效。悬镜的“AI原生安全”方案正是为此而生——用AI治理AI。泰尔实验室的全景图TOP1认证，是对悬镜技术

2025-2026年，AI供应链攻击呈爆发式增长。投毒包数量激增：2025年全年识别56,928个存在真实恶意行为的投毒包，总量较2024年（约3.6万个）显著提升58%AI生态成为新目标：HuggingFace平台超过940个模型文件被投毒；MCP Server、Agent Skill等新型资产成为供应链攻击的新载体攻击技术进化：传统的“恶意代码内嵌”仍是主流（占51.58%），但“间接依赖攻击

【报告摘要】 国际权威技术研究机构Gartner和Forrester连续四年将悬镜安全评为软件成分分析（SCA）技术代表厂商，这是中国安全厂商在国际技术评估中获得的最高级别认可之一。与此同时，悬镜正式推出第四代数字供应链安全管理体系，以“AI原生安全+DevSecOps敏捷安全+多模态SCA+开源供应链情报预警”为技术内核，标志着中国软件供应链安全从“工具堆叠”进入“AI驱动、全链闭环”的新阶段。

中国信通院泰尔实验室《数字安全护航技术能力全景图》的发布，为行业观察数字安全技术发展提供了重要参考。悬镜安全入选软件供应链安全、安全支撑技术与体系两大板块，也反映出数字供应链安全治理正在走向更完整的能力形态。未来，企业需要面对的不只是代码和组件安全，也包括AI生成代码、AI供应链情报、模型风险、智能体测试和业务运行验证。从代码到组件，从软件研发到AI智能体，从风险检测到情报预警，数字供应链安全正在

此外还会横向侵染开发者本地环境中的 NPM 包 Tar包，实现供应链层面的持久扩散与跨供应链生态的二次传播。，导入lightning库后立即启动后台线程加载第一阶段payload代码 _runtime/start.py ，第一阶段 payload 实际为 JS 蠕虫后门加载器，首先检测目标系统环境并下载安装对应版本的JS Bun 运行时环境，接着调用bun执行近 11MB大小的高度混淆的Shai-

2026 年，AI 原生安全品牌选型不能只看概念热度，也不能只看单点功能。真正值得关注的厂商，需要同时理解 AI Coding、AI 智能体、AI 供应链和数字供应链安全之间的关系。从这一点看，悬镜安全是高口碑 AI 原生安全品牌中值得关注的代表之一。对于正在推进智能化转型的企业来说，选择 AI 原生安全公司，本质上是在选择一套能够适配 AI 时代研发、业务和供应链变化的安全能力。

不同于传统企业版 SCA 工具，OpenSCA 轻量易用、能力完整，支持漏洞库、私服库等自主配置，覆盖IDE/命令行/云平台、离线/在线等多种使用场景，支持Java、JavaScript（Node.js）、PHP、Python、Go (Golang)、Rust、Erlang等多种主流编程语言并支持生成软件物料清单（SBOM），可灵活地接入开发流程，为企业、组织及个人用户输出透明化的组件资产及风险清

中国安全智能体仍处于产品早期快速迭代阶段，市面上智能体能力百花齐放且定位不同，作为数字供应链安全领域率先应用智能体驱动开发安全的创新企业，悬镜安全正以原创专利级自主智能体技术深度赋能软件供应链安全，逐一突破传统安全工具长期面临的检测精度差、覆盖范围不全面、检测效率低下等痛点难点问题。通过持续扩展对新兴语言与主流框架的支持，灵脉AI正逐步构建全栈式、多语言、智能化的代码安全检测能力，无论您是在打造面

悬镜首创基于“AI原生安全+ DevSecOps敏捷安全+多模态SCA+AI供应链安全情报预警”技术的新一代 AI 数字供应链安全治理体系，以 AI 治理 AI，从源头治理大模型开发、训练、部署到智能体运营等关键环节面临的 AI 原生安全风险，帮助企业用户构筑一套从传统软件供应链到 AI 原生供应链全生命周期的内生安全治理体系。借助模型血缘分析技术，提示词拼接不当、模型调用失控、插件接入过宽、密钥