OpenSSF сместил фокус с набора инструментов на связность системы. Метафора Skyway из Миннеаполиса описывает инфраструктуру связей между инициативами безопасности.
Отдельные направления — policy, анализ зависимостей, SBOM и подписи — рассматриваются как единая поверхность управления.
Утренние сессии связали AI-разработку с человеческими рисками: ускорение процессов усиливает распространение ошибок. Исследования фишинга и программ поддержки разработчиков показали: большинство сбоев возникает на стыке человека и процесса.
Дневные треки сфокусировались на visibility: разрыв между тем, что мейнтейнеры думают о репозиториях, и тем, что реально происходит. Выбор зависимостей переосмыслен как задача курирования, а не пассивного использования.
Позднее обсуждались модели governance вроде AMPEL и Gemara — попытка приблизить политику к коду и сделать её исполняемой.
Почему это важно для безопасности software supply chain#
Безопасность цепочки поставки зависит от прослеживаемости: происхождение кода, целостность зависимостей, воспроизводимость сборок и идентичность.
Главный риск — потеря сигналов между слоями. Это создаёт системную неопределённость, которую используют атаки: dependency confusion, компрометация мейнтейнеров, непрозрачные сборочные процессы.
Архитектурный сдвиг идёт к непрерывной верификации. Sigstore/Cosign и подходы SLSA рассматриваются как элементы стандартизации доверия в экосистемах.
AI усиливает давление: больше генерируемых и изменяемых артефактов при той же или меньшей способности к ручной проверке.