AI 编程工具在企业网络里装了“无主代码”

一项最新分析揭示了一个潜伏在企业网络中的重大供应链风险：AI 编程工具正在安装“无主代码”。研究人员在企业文档中发现了 227 条安装命令，指向没有明确所有者或维护者的软件包。这些包通常由 Claude、Codex、Hermes 等 AI 助手推荐或生成。 问题在于，AI 模型可能建议依赖项或库，而这些依赖项要么已被弃用，要么维护不善，要么在缺乏明确治理结构的情况下发布。在许多情况下，这些代码未经彻底审查就直接进入生产环境，为恶意行为者利用监管漏洞创造了潜在入口。 这个问题并非只是理论上的担忧。过去，类似的供应链攻击曾被用来植入后门或窃取敏感数据。不同之处在于，AI 工具现在正以规模化方式生成和推荐代码，放大了风险，使安全团队更难追踪每一个依赖项。 对企业而言，结论很明确：AI 辅助开发必须与强大的软件成分分析相结合。组织应维护所有开源组件的清晰清单，验证所有权和维护状态，并执行阻止无主或未验证包进入的策略。虽然 AI 编程工具带来了巨大的生产力提升，但它们绝不能成为安全态势中的盲点。 随着 AI 在软件开发中的采用不断增长，治理框架也需要同步跟上。这 227 条无主安装命令的发现，是对安全团队的一次警醒：审计自身环境，确保每一行代码——无论是人工编写还是 AI 生成——都有明确的责任人。