开源软件包“投毒”与供应链攻击：新的威胁与应对策略
在当今的数字化世界中，开源软件已经成为商业软件的重要组成部分，覆盖了从操作系统到应用软件的各种层次。随着开源软件在供应链中的广泛使用，一种新型的攻击方式——“投毒”，正在威胁着整个供应链的安全。
“投毒”攻击，也称为供应链攻击，是一种利用软件供应商与最终用户之间的信任关系，在合法软件的开发、传播和升级过程中进行劫持或篡改，从而达到非法目的的攻击方式。最近，中科院软件研究所智能软件研究中心团队就发现了这种攻击在开源软件生态中的存在。
他们基于开源软件供应链重大基础设施，实现了面向全网的针对开源生态“投毒”攻击现象的持续监测。在开源软件存储库恶意扩展包检测中，团队发现了Pyho官方扩展包仓库被恶意上传了8个恶意包及707个被成功“投毒”的开源项目。
这些恶意包包括恶意代码，可能进行诸如窃取隐私信息、“种植”持久化后门、远程控制等一系列攻击活动。而那些被“投毒”成功的开源项目，有的已经发布在Pyho官方扩展包仓库，有的则发布在公共代码托管平台。
针对这个问题，团队自主研发了一种新型的恶意包分析工具。通过这个工具，他们成功发现了这些恶意包和被“投毒”的开源项目，并已经将这些问题上报给官方和安全漏洞管理机构。
开源软件的广泛使用和供应链攻击的结合，使得“投毒”攻击成为一种极具威胁的新型攻击方式。这不仅对软件产业的安全造成了威胁，也会影响到其他重要行业的供应链安全。因此，针对开源软件生产、分发、使用全过程的全面风险管理至关重要。
“投毒”攻击已经成为一个全球性的问题，需要整个社会共同努力来应对。这包括提高公众对供应链攻击的认识，以及开发更有效的工具来检测和防止这种攻击。同时，也需要在法律层面上加强对供应链攻击的打击力度，确保网络安全和供应链安全。
