JFrog零接触修复功能解读：自动修复第三方组件漏洞，不中断构建的软件供应链安全方案
近日，JFrog 正式推出了 JFrog 零接触修复（Zero-Touch Remediation）功能，并宣布了 JFrog 自愈式软件供应链安全生态系统（JFrog Self-Healing Software Supply Chain Security Ecosystem）的首批合作伙伴。
作为 JFrog 中国授权合作伙伴，龙智（DragonSoft Digital，简称DSD）为您带来这一重要更新的详细解读，希望能帮助国内企业，更及时地了解自愈式软件供应链的最新进展，并为后续的安全能力规划提供参考。
零接触修复：自动寻找最佳修复方案，不中断构建与开发者工作流
零接触修复能够自动从任意生态系统合作伙伴处，为已知漏洞寻找最佳可用修复方案，并通过客户的流水线进行应用，且不会中断构建、强制版本更新或干扰开发者的工作流。
通过携手合作，JFrog 及其生态系统合作伙伴能够在攻击者利用漏洞之前将其清除——将发现漏洞到修复补丁落地之间的真空期缩短至趋近于零——从而将“自愈式软件供应链”从一个概念真正转化为切实可行的现实。
安全团队的工作一直都是要跑在攻击者前面。当人工智能能够在几分钟或几小时内发现并利用漏洞时，这场赛跑已不再是一个人类规模的问题。
Gartner 将软件 supply chain（供应链）攻击列为四大关键安全威胁之一，在前沿 AI 的助推下，攻击者目前在这类威胁中占据优势——同时，Gartner 首次发布的软件供应链安全魔力象限（Magic Quadrant for Software Supply Chain Security）将 JFrog 评为领导者（Leader），这证实了行业正转向动态的、自愈式的平台来寻求解决方案。
人工智能已经完成了角色转变：从最初的助手，到熟练的攻击者，再到如今能够在没有任何 CVE（通用漏洞披露）发布之前，自主寻找关键攻击路径中先前被忽视的漏洞，并在没有人为引导的情况下生成可运行的漏洞利用程序。
从漏洞发现到修复仅需数分钟，全程无需人工介入
JFrog 自愈式软件供应链将软件安全的五大支柱——预防、检测、优先级排序、修复以及可证实的审计性——整合为一个连续的、以机器速度运行的工作流。
1.预防（Prevent）：在威胁进入之前将其阻截
为了帮助开发者在不增加摩擦的情况下发布安全软件，JFrog 带有合规版本选择（Compliant Version Selection）功能的 Curation 能够在开发者试图拉取风险软件包、AI 资产、IDE 扩展和第三方组件的瞬间将其拦截，并透明地替换为符合策略的版本。
2. 检测（Detect）：抢在攻击者之前掌握完整链条
JFrog Xray 与 JFrog Advanced Security 通过单一记录系统提供统一的检测能力——扫描发布构件中的每一个依赖项，在代码发布前捕捉脆弱的代码模式，并在所有构件类型中找出暴露的凭据。
3. 优先级排序（Prioritize）：针对真实风险而非理论风险采取行动
为了减少 CVE 噪音，JFrog 上下文分析（Contextual Analysis）会对每一个漏洞的触达性（Reachability）和可利用性（Exploitability）进行评估。JFrog Runtime（运行时）进一步将清单缩小到实际在生产环境中加载的内容，而 JFrog AppTrust 则加入了业务关键性评估——将数千个工单精简为一小份确认暴露的清单。
4. 修复（Remediate）：以快于威胁蔓延的速度进行修复
对于第三方软件包，全新的 JFrog 零接触修复（Zero-Touch Remediation）功能会自动从生态系统合作伙伴处拉取最佳可用补丁并透明地应用。对于自有代码（First-party code），JFrog 互补的智能体修复（Agentic Remediation）使开发者能够在 Pull Request（合并请求）层面生成并验证由 AI 驱动的修复方案，供开发者在合并前进行审查和验证。
5. 证明（Prove）：每一个修复、每一次证明，形成单一证据链
JFrog AppTrust 会自动为每项操作记录经过加密签名的证明，为每次发布的整个软件供应链状态提供全面且随时可供审计的完整审计追踪，在任何时间点均可查阅。这就是 DevGovOps：将治理内嵌于流水线本身之中，因此当审计人员询问时，合规证据已然齐备。
携手生态伙伴，让每个修复方案精准匹配脆弱构件
当企业中的每一个构件都流经单一的记录系统（该系统反过来又充当单一真实数据源）时，自愈功能便成为了可能。携手 Broadcom Tanzu、Chainguard、Echo、IBM、Red Hat、Moderne、Seal Security 以及 TuxCare，JFrog 零接触修复（Zero-Touch Remediation）能够将每个修复方案与脆弱构件相匹配，在不破坏构建的情况下进行应用，并通过 JFrog AppTrust 进行认证——无论该修复方案由哪个合作伙伴提供。
- Broadcom：由维护者在公开披露之前编写并构建至 SLSA 3 级的 Spring 补丁；此外还提供涵盖 Java、Python 和 Node.js 的精选、经过验证的构建版本。
- Chainguard Libraries（Chainguard 库）：无恶意软件的 Java、Python 和 JavaScript 软件包，同时提供修复了严重及高危 CVE 的从源码构建并回溯补丁（backported）的版本。
- Echo Libraries（Echo 库）：涵盖 npm、PyPI、Java、Go、dotnet、Perl 等的广泛支持，针对团队已声明的版本（包括传递性依赖项）提供严重及高危 CVE 补丁。
- Lightwell：Lightwell 是 Red Hat 与 IBM 的联合倡议，为企业提供获取安全修复和缓解措施的关键途径，帮助企业更轻松、更快速地应对脆弱的第三方开源依赖项。
- Moderne Backpatch Alliance（Moderne 回溯补丁联盟）：由原维护者对关键的生命周期结束（EOL）开源软件（OSS）软件包进行回溯补丁，从上游提交中精挑细选并作为标准 Maven 构件发布。
- TuxCare SecureChain：从源码重新构建、经过恶意软件筛查并持续打补丁的开源软件包——包括在上游维护结束后的无休止生命周期支持（Endless Lifecycle Support）。
- Seal Security：保持相同版本号的独立回溯补丁，经过加密签名，针对高危和严重 CVE 均提供 72 小时的 SLA（服务等级协议）。
龙智服务与支持
JFrog 零接触修复（Zero-Touch Remediation）现已作为 JFrog 统一安全（JFrog Unified Security）的一部分正式上线，即刻可用。
从预防、检测、优先级排序到修复与可证实的审计性，JFrog自愈式软件供应链将五大安全支柱整合为一个以机器速度运行的连续工作流，而零接触修复的落地，让”发现即修复”真正成为可交付的能力。
作为JFrog 中国授权合作伙伴，龙智（DragonSoft Digital，DSD）为国内用户提供JFrog平台的一站式服务，涵盖产品咨询、试用、实施部署、培训与技术支持。
如需进一步了解JFrog零接触修复及JFrog统一安全如何适配您的研发流程，欢迎联系龙智，我们将为您安排产品演示与一对一方案沟通。
官网：www.shdsd.com
电话：400-666-7732
邮箱：marketing@shdsd.com
最新文章
相关产品
