大模型的训练与推理链路高度依赖开源框架、预训练权重与第三方数据集。本文从 OWASP 视角剖析大模型供应链的关键风险点，并提出可落地的防护框架。

XZ-Utils 后门事件为整个行业敲响警钟。本文梳理近年典型软件供应链攻击手法，并提出“可信构建 + 依赖治理”的防御体系与中小企业的务实起点。

软件物料清单（SBOM）已成为供应链透明化的核心抓手。本文结合 CycloneDX 与 SPDX 标准，分享企业从生成、管理到与漏洞联动的落地路径。

11月21日，周六来聊“用Dependency Track管理软件供应链安全”。