#sbom

Agents Gone Awry on Postgres SBOMs: Start Over

Tác giả đang làm việc với SBOM (Software Bill of Materials) cho Postgres Extensions trong môi trường container, tập trung vào tính năng inventory, provenance và attestation. Quá trình triển khai sử dụng nhiều AI Agents nhưng đã gặp vấn đề đáng kể khi các agent này hoạt động không như mong đợi, dẫn đến kết quả không chính xác. Vấn đề này gây ra những hệ quả nghiêm trọng về độ tin cậy của dữ liệu SBOM, đòi hỏi phải bắt đầu lại từ đầu. Bài viết là bài học quý giá về việc cần kiểm soát chặt chẽ các AI Agents khi làm việc với dữ liệu quan trọng và nhạy cảm như SBOM.

Bài viết giúp hiểu rõ rủi ro khi sử dụng AI Agents trong quản lý SBOM cho Postgres Extensions và cách khắc phục.

RapidFort Allies with CrowdStrike to Harden Container Images

RapidFort tuần này công bố đã hợp tác với CrowdStrike để tăng cường bảo mật ảnh container. Họ đã tích hợp nền tảng khắc phục lỗ hổng container của RapidFort vào nền tảng bảo mật đám mây Falcon của CrowdStrike. Nhờ tích hợp này, quá trình quét và vá lỗ hổng được tự động hóa trong pipeline CI/CD, giúp giảm thời gian tiếp xúc với các mối đe dọa. Điều này cho thấy việc kết hợp công cụ khắc phục chuyên sâu với nền tảng bảo mật đám mây rộng lớn có thể tối ưu hóa quy trình quản lý lỗ hổng và nâng cao hiệu quả DevSecOps. Đối với các đội muốn cứng nhắc container, việc xem xét các tích hợp tương tự là một bước thực tế để duy trì tuân thủ liên tục.

Bài viết này giúp lập trình viên hiểu cách tăng cường bảo mật hình container bằng cách kết hợp RapidFort và CrowdStrike.

Why AI Agents Shouldn’t Guess at Vulnerability Exploitability

Trong lĩnh vực bảo mật AI, các hệ thống hiện tại thường đánh giá tính khai thác lỗ hổng bằng cách đoán mò thay vì theo dõi bằng chứng thực tế. Việc thiếu tính xác định (deterministic) trong các hệ thống AI dẫn đến việc xếp hạng sai lầm về mức độ nguy hiểm của lỗ hổng, gây lãng phí nguồn lực cho đội ngũ bảo mật. Nghiên cứu cho thấy chỉ có 17% các hệ thống AI có khả năng cung cấp bằng chứng xác thực về khả năng khai thác lỗ hổng thay vì chỉ đưa ra dự đoán. Để khắc phục vấn đề này, các công nghệ như deterministic vulnerability assessment và evidence-based exploitability tracking cần được triển khai thay vì các phương pháp dựa trên guesswork.

AI có thể giải thích các phát hiện lỗ hổng, nhưng việc ưu tiên đáng tin cậy đòi hỏi các hệ thống xác định theo dõi khả năng khai thác qua bằng chứng thực tế.

CRA Reporting Is Live: What Manufacturers, Vendors, and Distributors Need to Know

Article 14 of the EU Cyber Resilience Act (CRA) took effect on September 11, 2026, requiring manufacturers, importers, and distributors of products with digital elements sold into the EU to notify ENISA or their national CSIRT within 24 hours of learning a vulnerability is being actively exploited, with a mitigation report due in 72 hours and full analysis within two weeks. ENISA clarified the obligation applies only to vulnerabilities actively exploited within a manufacturer's own product, not anywhere in the supply chain. Non-compliance penalties can reach 2.5% of global turnover or 15 million euros. The piece covers scope (four criticality tiers, exclusions for open source and hosted services), the limits of public vulnerability data (NVD scoring gaps, EU Vulnerability Database mirroring NVD), the need for automated continuous monitoring and CVSS v4 scoring, SBOM obligations across supply chains, AI's dual role as both attack surface expander and assessment aid (with the caveat that non-deterministic AI output doesn't satisfy CRA's documented, repeatable evidence requirements), and the upcoming December 2027 secure development lifecycle obligations plus the related EU Product Liability Directive.

Securing the Source: AI Velocity, CRA Compliance & Dependency Debt

Join ActiveState CEO Abby Kearns on What's in the SOSS? as she discusses the evolving open source security landscape, AI risks, and CRA compliance.

How buildpacks help enterprises finally operate container security controls at scale

Buildpacks simplify enterprise container security by standardizing builds, automating SBOMs, and scaling patch management.

Misc Learnings: SBOMs, Provenance and Attestations

Tác giả đã chia sẻ những hiểu biết mới về renovate, SBOMs, provenance và attestations khi phát triển dự án CNPG-Extensions. Nguyên nhân kỹ thuật bắt nguồn từ nhu cầu xây dựng dự án nghiêm túc hơn, chuyển từ tên hài hước "Not-CNPG". Hệ quả là tác giả đã khám phá sâu về hệ sinh thái bảo mật phần mềm, đặc biệt là các công cụ quản lý phụ thuộc như renovate. Điều đáng học là cách hệ thống SBOM (Software Bill of Materials) giúp minh bạch hóa chuỗi cung ứng phần mềm, kết hợp với provenance để xác minh nguồn gốc các dependency.

Bài này cung cấp kiến thức thực tế về SBOMs, provenance và attestations - những khía cạnh quan trọng nhưng thường bị bỏ qua trong bảo mật phần mềm hiện đại.

SBOM vs. Reachability in a Custom Spark Image

SBOM vs. Reachability in a Custom Spark Image Background If you use Vanilla Spark out of the box, it only gives you the core engine. It misses support for every storage format, cloud provider, or …

Hardening Container Images

I recently set up a new server using Flatcar Container Linux. I decided that any container that I put on this system should be "hardened" from the start....

What's new in git-pkgs

Bối cảnh của git-pkgs là những Go module nhỏ dành cho người phát triển công cụ quản lý gói. Nguyên nhân kỹ thuật là nhu cầu chia sẻ mã nguồn tái sử dụng cho các dự án package manager. Hệ quả là các lập trình viên có thể tận dụng những module này để phát triển nhanh hơn các công cụ quản lý gói của riêng mình. Điều đáng học là cách tiếp cận module hóa giúp giảm thiểu lượng code cần viết và bảo trì. Các module như GitPKGS, GitPKG và GitPKGAPI cung cấp API để làm việc với hệ thống gói.

Bài này giúp lập trình viên hiểu các Go modules nhỏ hữu ích cho xây dựng công cụ quản lý gói.

How AI Is Changing Patching and What Devs Need to Know About Exposure Management

Khi hệ thống quét bảo mật phát hiện 23 lỗ hổng trong ứng dụng, trong đó 4 mức critical và 7 mức high, lập tức phản ứng thông thường là vá ngay lập tức. Tuy nhiên, tiếp cận patching truyền thống khiến nhiều đội ngũ bị quá tải do bỏ qua yếu tố exposure management. Phương pháp AI giúp phân tích và xác định chính xác các lỗ hổng thực sự rủi ro dựa trên context của hệ thống, giảm đáng kể gánh nặng patching không cần thiết. Đội ngũ nên đầu tư vào các công cụ như Exposed Risk Score, kết hợp với nền tảng AI-based vulnerability management để tối ưu hóa hiệu quả bảo mật.

Bài viết giúp lập trình viên hiểu cách AI đang thay đổi quy vá lỗi và quản lý lộ hổng trong ứng dụng, giúp tối ưu hóa việc vá lỗi hiệu quả hơn.

The 24-hour CRA deadline is changing software supply chain visibility

The EU Cyber Resilience Act requires manufacturers to report actively exploited vulnerabilities within 24 hours starting September 11. FossID's Aaron Branson argues that SBOM confidence, not just SBOM possession, is the real bottleneck.

Trusted Open Source Catalogs for AI and Developers

Alan Shimel sits down with Leslie Pascual, Field Engineering Manager for AI and Security Solutions at ActiveState.

What’s in the SOSS? Navigating the EU Cyber Resilience Act with Madalin Neag

Join OpenSSF EU Policy Advisor Madalin Neag on the What's in the SOSS podcast as he explains the EU Cyber Resilience Act (CRA) and its impact on the open source software supply chain.

Understanding Software Risk Without Being a Developer

Bài viết mô tả cách các doanh nghiệp đánh giá rủi ro phần mềm của bên thứ ba mà không cần phải là nhà phát triển. Quy trình bao gồm việc kiểm tra mã nguồn, quản lý phụ thuộc, xác định nguồn gốc (provenance), phân tích kiến trúc, đánh giá mã được tạo bởi AI, đo lường nợ kỹ thuật và xem xét chính sách quản trị. Các bước này giúp phát hiện lỗ hổng bảo mật, sự không tương thích và chi phí bảo trì tiềm ẩn trước khi phần mềm được tích hợp vào hệ thống. Ví dụ, một công ty có thể giảm 30% sự cố sản xuất bằng việc áp dụng kiểm tra phụ thuộc tự động và công cụ phân tích nợ kỹ thuật như SonarQube hoặc Dependabot. Bài học chính là dù không phải dev, việc hiểu và áp dụng các khung đánh giá rủi ro này cho phép đội ngũ quản lý đưa ra quyết định mua sắm hoặc sử dụng phần mềm bên ngoài một cách có căn cứ và giảm thiểu rủi ro dài hạn.

Bài viết giúp bạn hiểu cách doanh nghiệp đánh giá r phần mềm bên ngoài mà không cần biết code.

OpenSSF Newsletter – August 2026 – Open Source Security Foundation

The August 2026 OpenSSF newsletter rounds up CRA readiness content ahead of the September 11, 2026 reporting deadline, including an Ericsson case study on eliminating private forks via 1,400 upstream fixes, a practitioner's guide to CRA compliance, and four new podcast episodes covering CRA strategies and open source funding. It also announces BOMHort joining the OpenSSF Sandbox, OpenBao v2.6 and v2.6.2 (with security fixes), Zarf v0.83.0, Minder v0.3.1, OSV Schema v1.9.0, Sigstore Cosign v3.1.3/v2.6.5 patching a verification bypass vulnerability, Gemara v1.5.0, and darnit's initial v0.1.0 release. Regulatory updates cover ENISA's Single Reporting Platform guidance, BSI's updated TR-03183-1, CISA's 2026 SBOM Minimum Elements, ETSI's CRA standards approval process, and EU Cybersecurity Act amendments. Upcoming events include AGNTCon + MCPCon North America, OpenSSF Community Day Europe, and KubeCon North America.

Why AI-speed threats are making traditional CVE patching obsolete

Trong bối cảnh AI nhanh chóng tạo ra các mối đe dọa an ninh, các tổ chức đang bỏ qua việc áp dụng CVE patching truyền thống. Nguyên nhân kỹ thuật nằm ở tốc độ cập nhật AI khiến các lỗ hổng được khai thác trước khi có patch. Hệ quả là các hệ thống open source và nền tảng open web không còn đủ thời gian để đợi các bản vá. Do đó, việc học cách tự động hoá quản lý bảo mật và cân nhắc thay thế CVE với các giải pháp mới là cần thiết.

Bài viết giải thích tại sao các mối đe dọa tốc độ AI đang khiến việc vá CVE truyền thống trở nên lỗi thời và không đủ sức chống lại các nguy an ninh mạng mới.

Securing Docker images: harden, patch, and maintain them

Most of a container's vulnerabilities come from the base image. How to harden Docker images, why hardening is ongoing, and how to patch the base you already run.

Introducing BOMHort: Kubernetes-Native SBOM Visualization & Governance at Scale Joins the OpenSSF Sandbox – Open Source Security Foundation

BOMHort, a Kubernetes-native SBOM ingestion and visualization platform formerly called SeeBOM, has joined the OpenSSF Sandbox. It ingests SPDX, CycloneDX, and in-toto attestations at scale, deduplicates via SHA256, and uses batch OSV lookups plus a daily CVE refresher for continuous vulnerability intelligence, including VEX-aware suppression. It ships license governance based on the CNCF Allowed Third-Party License Policy, uses ClickHouse for sub-second analytics across thousands of SBOMs, and offers a REST API plus an Angular 19 dashboard. It is deployable via Docker Compose, Kind, or Helm charts, and is developed under Apache-2.0 license aimed at helping teams meet EU CRA, NIST SSDF, and Executive Order 14028 compliance requirements.

Building hermetic notebook images for Open Data Hub and Red Hat OpenShift AI

Bài viết giới thiệu cách triển khai hình ảnh notebook hermetic cho Open Data Hub và Red Hat OpenShift AI. Để đạt tính tái lập và tuân thủ, họ dùng Buildah, Skopeo và Image Streams để đóng gói môi trường. Kết quả là các notebook được cô lập, giảm phụ thuộc vào hệ thống gốc và dễ kiểm soát phiên bản. Điều này giúp tăng tính reliability của mô hình và giảm lỗi môi trường, nên rất hữu ích cho người phát triển. Nếu bạn đang cân nhắc triển khai CI/CD cho notebook, cách hermetic này cung cấp kiểm soát môi trường chi tiết và tuân thủ quy định.

Bài viết này giúp lập trình viên xây dựng notebook images có khả năng tái tạo và kiểm toán cao cho Open Data Hub và Red Hat OpenShift AI.

Software Supply Chain Security: Decisions, Not Defaults

Hầu hết phần mềm hiện nay hoạt động dựa trên các quyết định mà ninguém từng rõ ràng đưa ra, thay vì được thiết kế có chủ đích. Các biện pháp như gating (chặn phiên bản không an toàn), pinning (khóa phiên bản cụ thể), backporting (đưa bản vá về các phiên bản cũ) và việc duy trì SBOM (Software Bill of Materials) chỉ hiệu quả khi có người chịu trách nhiệm cụ thể cho chúng. Khi không có chủ nhân, những quy trình này trở thành mặc định vô hình, dẫn đến khoảng trống bảo mật trong chuỗi cung cấp phần mềm. Khoảng trống này có thể bị khai thác để chèn mã độc hoặc khai thác lỗ hổng connus, gây ra sự gián đoạn dịch vụ và rủi ro về dữ liệu. Bài học là đội ngũ phát triển cần gán trách nhiệm rõ ràng và theo dõi chủ động các quyết định chuỗi cung cấp, thay vì dựa vào mặc định.

Bài này giúp lập trình viên hiểu rằng an ninh chuỗi cung cấp phần mềm phụ thuộc vào các quyết định chủ động, không phải cấu hình mặc định.

sbom-cve-check 1.3.2 and 1.3.3: improved SBOM handling and more robust CVE analysis – Bootlin

Bootlin's sbom-cve-check, công cụ giám sát CVE chính thức của Yocto Project, vừa phát hành bản 1.3.2 (tháng 6) và 1.3.3 (tháng 8). Phiên bản 1.3.2 nâng cấp hỗ trợ nén Zstandard, mở rộng các khóa YAML đơn giản trong annotation và sửa lỗi lọc cũng như phát hiện danh sách nguồn kernel Linux không đầy đủ. Phiên bản 1.3.3 bổ sung xử lý CVE umstritten để tạo đánh giá VEX “not affected”, cải thiện việc khớp phiên bản CVE bằng các toán tử so sánh, ranh giới ngày và các hậu tố đóng gói distro, đồng thời sửa lỗi cập nhật kho Git của cơ sở dữ liệu CVE và thêm hỗ trợ uv cùng hướng dẫn đóng góp mới. Những thay đổi này làm cho việc phân tích CVE trở nên đáng tin cậy hơn, giảm báo cáo falso positive và cho phép tạo ra các đánh giá VEX chính xác từ SBOM. Điều này nhắc nhở các nhà phát triển rằng việc thường xuyên cập nhật công cụ hỗ trợ các định dạng nén mới, xử lý CVE umstritten và linh hoạt trong matching phiên bản là chìa khóa để duy trì chất lượng an toàn phần mềm trong môi trường Yocto.

Bài viết cung cấp cập nhật quan trọng về công cụ sbom-cve-check giúp lập trình viên kiểm tra và quản lý lỗ hổng bảo mật hiệu quả hơn.

Software Bill of Materials in Percona Server for MongoDB

Percona Server for MongoDB (PSMDB) now ships CycloneDX SBOM files in its Debian/RPM packages, binary tarballs, and Docker images starting with versions 7.0.39-21, 8.0.28-12, and 8.3.7-1. The post explains how to scan these SBOMs using Grype or OWASP Dependency Track (Trivy skips most PSMDB dependencies), walks through several false-positive CVEs (in gRPC, ICU4C, LibTomCrypt) caused by wide CPE matches, excluded build code, or local patches, and introduces accompanying VEX documents that filter these false positives out. It also warns that SBOM scans don't cover runtime-linked shared libraries (glibc, OpenSSL, libcurl, etc.), which should be scanned separately.

How to Detect Hidden Risks in Third-Party Software

Các doanh nghiệp ngày càng phụ thuộc vào thành phần bên thứ ba,do đó các rủi ro ẩn trong mã nguồn,dependencies,provenance,kiến trúc,mã AI,technical debt và governance trở thành mối lo ngại lớn. Nguyên nhân kỹ thuật là sự thiếu sót trong việc quét tự động và theo dõi nguồn gốc dựa trên SBOM,để lỗ hổng,xung đột giấy phép và mã độc có thể không được phát hiện trong chuỗi cung cấp. Hệ quả của những điểm mù này bao gồm các cuộc tấn công chuỗi cung cấp,phạt phạt về quy định và chi phí bảo trì tăng vượt quá lợi ích ban đầu từ việc sử dụng mã bên ngoài. Bài học là việc triển khai phân tích liên tục của dependencies,kiểm tra nguồn gốc mã AI,đánh giá rủi ro kiến trúc và chính sách quản trị formal có thể giảm thời gian phát hiện từ hàng tuần xuống vài giờ và giảm tỷ lệ sự cố tới 40% theo một số nghiên cứu trường hợp. Việc áp dụng những biện pháp này chuyển quản lý rủi ro thành phần bên thứ ba từ một hoạt động phản ứng thành một quy trình chủ động,có thể đo lường trong vòng đời phát triển phần mềm.

Bài viết này giúp lập trình viên nhận diện và giảm thiểu rủi ro phần mềm bên thứ ba có thể ảnh hưởng đến dự án.

Top Image Hardening Tools 2026: 7 Compared

Bài viết so sánh sept công cụ cứng hóa image năm 2026: Aikido, Chainguard, Docker, RapidFort, Echo, Minimus và Wiz, nhằm giúp đội devops chọn giải pháp phù hợp với xu hướng tăng tấn công chuỗi cung cấp. Các công cụ được đánh giá qua ba yếu tố chính: khả năng phát hiện và sửa lỗ hổng trongฐาน image, mức độ giảm kích thước image sau khi làm mỏng và mức độ tích hợp với pipeline CI/CD cũng như runtime protection. Kết quả cho thấy Aikido và Chainguard đạt tỉ lệ giảm CVE trung bình trên 85 % nhưng gây overhead build khoảng 12 %, trong khi Docker và RapidFort tập trung tối ưu kích thước image (giảm trung bình 40 %) với mức phát hiện lỗ hổng thấp hơn khoảng 60 %. Minimus và Wiz nổi bật ở khả năng tạo SBOM tự động và phản hồireal‑time, tuy nhiên tiêu tốn thêm tài nguyên lưu trữ lên tới 15 % mỗi image. Bài học chính là cần cân bằng giữa độ bảo mật, hiệu suất build và khả năng tích hợp khi quyết định chọn công cụ cứng hóa image phù hợp với môi trường phát triển cụ thể của mình.

Bài này giúp bạn chọn được công cụ hardening hình ảnh phù hợp nhất cho dự án năm 2026.

Inside Platform Engineering with Nigel Douglas

A conversation with Nigel Douglas on dependencies, supply chain attacks, and why most teams can't list everything holding their software together.

Bài viết này giúp lập trình viên hiểu rõ về quản lý phụ thuộc và tấn công chuỗi cung cấp phần mềm để bảo vệ ứng dụng hiệu quả.

How Base Images Impact Software Supply Chain Security in Kubernetes

Kubernetes software supply chain security starts with trusted base images, continuous scanning, signing, SBOMs and automated updates.

Top Enterprise SCA Tools 2026

Năm 2026, các công cụ SCA (Software Composition Analysis) doanh nghiệp nổi bật gồm Aikido, Sonatype, Snyk, Endor Labs, Checkmarx, Black Duck và Veracode, được đánh giá dựa trên trí thông minh, khả năng khắc phục lỗ hổng và tuân thủ quy định.

Lập trình viên chuyên nghiệp nên đọc bài này để so sánh các công cụ kiểm tra bảo mật ứng dụng (SCA) hàng đầu năm 2026, giúp họ chọn lựa giải pháp phù hợp nhất với nhu cầu tích hợp, hiệu suất và tuân thủ an ninh trong dự án doanh nghiệp.

License data quality improvements

GitHub cải thiện chất lượng dữ liệu giấy phép bằng cách lấy thông tin trực tiếp từ các sổ đăng ký package như npmjs.org, PyPI, NuGet,... thay vì dựa vào ClearlyDefined. Tỷ lệ package thiếu giấy phép giảm từ 45% xuống 24% trong số 170 triệu package theo dõi, và hệ thống giờ lưu trữ giấy phép theo phạm vi phiên bản (e.g., Apache-2.0 cho 1.0.0–7.5.17).

Lập trình viên nên đọc bài này để hiểu cách GitHub tự động hóa và nâng cao độ chính xác về quản lý giấy phép (licenses) cho các gói phụ thuộc, giúp giảm rủi ro vi phạm quyền sở hữu trí tuệ và tối ưu hóa quá trình phát triển an toàn hơn.

The EU Cyber Resilience Act is coming, and Determinate is the missing link in your supply chain

Quy định Khả năng phục hồi mạng (CRA) của EU sẽ áp dụng theo hai giai đoạn, bắt đầu từ ngày 11/9/2026. Nhiều doanh nghiệp có thể gặp khó khăn trong việc tuân thủ, nhưng Nix và Determinate hứa hẹn cung cấp giải pháp hàng đầu cho chuỗi cung ứng.

Lập trình viên nên đọc bài này để hiểu cách Nix và Determinate giúp xây dựng hệ thống quản lý nguồn cung ứng an toàn và minh bạch, giảm thiểu rủi ro tuân thủ tiêu chuẩn mới của EU về an ninh mạng trong thời gian chuyển đổi kỹ thuật số.

What’s New in vcpkg (Jul 2026)

vcpkg (Jul 2026) bổ sung cải tiến đáng kể về SBOM trong vcpkg-tool, cập nhật 302 ports với nhiều nâng cấp thư viện quan trọng, cùng các cải tiến nhỏ và sửa lỗi khác.

Lập trình viên nên đọc bài này vì với cập nhật SBOM mới trong vcpkg-tool và 302 cổng cập nhật, bạn có thể tối ưu hóa quản lý phụ thuộc, giảm rủi ro an ninh và nhanh chóng tích hợp các thư viện mới nhất trong dự án của mình.

CRA Readiness: A Practitioner’s Guide to Compliance – Open Source Security Foundation

OpenSSF tổ chức buổi Tech Talk trực tuyến vào ngày 20/8 về tuân thủ EU Cyber Resilience Act (CRA) cho nhà sản xuất phần mềm, quản lý nguồn mở và doanh nghiệp thương mại, với hạn chót báo cáo là tháng 9/2026 và tuân thủ đầy đủ vào tháng 12/2027. Buổi nói chuyện sẽ trình bày kết quả khảo sát CRA Awareness and Readiness Report 2026, nghiên cứu trường hợp thực tế về SBOM và provenance từ các thành viên OpenSSF, cùng giới thiệu nhóm mới Launchpad SIG thuộc Global Cyber Policy Working Group. Diễn giả đến từ Arm, Red Hat, ControlPlane và Microsoft.

Lập trình viên nên đọc bài này để hiểu cách áp dụng SBOM (Software Bill of Materials) và quản lý nguồn mở một cách hiệu quả, từ đó giảm thiểu rủi ro về an ninh phần mềm và đáp ứng yêu cầu pháp lý mới của EU Cyber Resilience Act trước thời hạn.

From Friction to Flow: How ASF Tooling Is Lowering Barriers for Maintainers

Quỹ phần mềm Apache (ASF) giới thiệu Apache Trusted Releases (ATR) trong dự án ASF Tooling nhằm tự động hóa các bước thủ công như kiểm phiếu, xác thực SBOM và kiểm tra tuân thủ, giúp đơn giản hóa quy trình phát hành cho hàng trăm dự án. ATR hỗ trợ tích hợp linh hoạt với workflow hiện có như GitHub Actions hay CLI, đồng thời cung cấp API công khai và kho mã nguồn mở tại release-test.apache.org.

Một lập trình viên làm việc với các dự án open-source tại Apache sẽ tìm hiểu ATR để tối ưu hóa quá trình phát hành, giảm thiểu công việc thủ công và nâng cao hiệu quả kiểm tra an toàn, tuân thủ SBOM mà không cần thay đổi cơ sở hạ tầng hiện có.

IBM and Red Hat Expand Lightwell to Strengthen Trust and Governance for AI-Era Open Source

IBM và Red Hat mở rộng Lightwell với các gói thương mại mới, hỗ trợ doanh nghiệp xây dựng chuỗi cung ứng phần mềm đáng tin cậy và có thể xác minh trong kỷ nguyên AI.

Lập trình viên nên đọc bài này để hiểu cách Lightwell từ IBM và Red Hat giúp xây dựng các hệ thống mở an toàn hơn, đặc biệt trong việc kiểm soát nguồn gốc mã nguồn và bảo mật cho ứng dụng AI, giúp phát triển phần mềm hiệu quả hơn trong môi trường mở.

Cyber Resilience Act for .NET Library Authors: Read the Fine Print — Daily DevOps & .NET

Đạo luật Cyber Resilience Act (CRA) sẽ có hiệu lực từ năm 2027, nhưng các tác giả thư viện .NET cần chuẩn bị sớm hơn cho chuỗi cung ứng NuGet. Các nghĩa vụ theo CRA sẽ được áp dụng để đánh giá mọi tác giả thư viện .NET.

Những nhà phát triển .NET phải hiểu ngay bây giờ về Cyber Resilience Act (CRA) để tránh rủi ro về tuân thủ và bảo mật trong các bản cập nhật NuGet sớm nhất, đặc biệt khi quy định bắt buộc bắt đầu từ năm 2027.

Your composer.lock knows what a carmaker only guesses

Nhà sản xuất ô tô vô tình liệt kê một botnet Android trong danh sách phụ thuộc open source của mình bằng cách quét thay vì khai báo, cho thấy sự khác biệt giữa danh sách khai báo (declared) đáng tin cậy hơn so với danh sách quét (scanned). Bài viết cũng giải thích cách PHPUnit PHAR tự tiết lộ nội dung của nó.

Lập trình viên nên đọc bài này để hiểu cách một dependency list khai báo (declared) có thể bảo vệ dự án khỏi các mối đe dọa từ các tệp tin độc hại được phát hiện thông qua scanning, như trong trường hợp của một botnet Android được phát hiện trong một dự án công khai.

Software Supply Chain Security: Key Findings from Omdia's 2026 Report

Theo báo cáo của Omdia năm 2026, 77% tổ chức từng gặp sự cố trong chuỗi cung ứng phần mềm trong năm qua, nhấn mạnh rủi ro và lỗ hổng bảo mật, đồng thời đề cao vai trò của nhà phát triển như tuyến phòng thủ đầu tiên.

Lập trình viên nên đọc bài này vì họ là những người trực tiếp xây dựng và kiểm soát các thành phần quan trọng trong chuỗi cung ứng phần mềm, từ đó giúp họ phát hiện và ngăn chặn các rủi ro an ninh từ các thư viện, công cụ hoặc dịch vụ bên ngoài.