---

开篇脑暴：两桩典型案例，警醒每一位职工

在信息化高速发展的今天，网络安全不再是“远在天边”的技术话题，而是每一位普通员工每日可能面对的“邻里纠纷”。如果把企业的数字资产比作一座城池，那么攻击者就是潜伏在城墙外的“匪徒”。下面，我用两桩近期真实案例，进行一次“头脑风暴”，帮助大家立体感知攻击者的作案手法与潜在风险。

案例一：Checkmarx KICS Docker 镜像被篡改——“供销链的暗门”

2026‑04‑22，攻击者利用已经窃取的 Checkmarx 官方发布者凭证，登录 Docker Hub，直接覆盖了 checkmarx/kics 仓库的多个 Tag（latest、v2.1.20、v2.1.20‑debian、alpine、debian），并新增了 v2.1.21、v2.1.21‑debian。这看似只是一次普通的镜像更新，却在背后暗藏了如下几大危害：

1. 合法功能伪装：篡改后的 KICS 二进制仍保留原有 IaC（基础设施即代码）扫描功能，表面上没有异常，极易在 CI/CD 流水线中被误认为是官方镜像。
2. 隐蔽数据外泄：新增的遥测通道将扫描产出的配置文件、凭证等敏感信息，以 User‑Agent: KICS‑Telemetry/2.0 的伪装发送至攻击者控制的 hxxps://audit.checkmarx.cx/v1/telemetry。
3. 二次加载恶意代码：在官方 GitHub 上的 cx‑dev‑assist 与 ast‑results VS Code 扩展也被植入后门脚本 mcpAddon.js，通过 Bun 运行时执行，完全绕过了代码签名校验。

“看似微小的改动，却可能打开全网的后门。”——这句话完美诠释了供应链攻击的本质：攻击者不在于一次性获得管理员权限，而在于悄然渗透到企业的“供销链”每一个节点。

案例二：Bitwarden CLI 供应链链式污染——“依赖的多米诺”

同一天（2026‑04‑22），在 Checkmarx KICS 镜像被篡改的 14:17–15:41 UTC 窗口，Bitwarden 官方的自动化 Dependabot 拉取了被污染的 checkmarx/kics:latest 镜像，随后将其集成进 Bitwarden CLI（@bitwarden/cli）的构建流程中，导致 2026.4.0 版本的 NPM 包被发布。

这一次的危害更为连锁：

1. 自动化工具的盲点：Dependabot 作为行业内倡导的“安全自动更新”，在未对拉取的 Docker 镜像进行二次校验的情况下，将恶意代码自然带入 Bitwarden 的 CI/CD 流水线。
2. 跨语言攻击面：恶意脚本在 Node 环境中执行，利用 bw1.js 中的 “Shai‑Hulud: The Third Coming” 代码段，收集 GitHub、npm、SSH、云平台（AWS、GCP、Azure）等 40 类凭证，并将其上传至攻击者控制的 GitHub 仓库，形成公开的泄露痕迹。
3. 攻击放大效应：Bitwarden CLI 是开发者常用的密码管理工具，一旦被感染，几乎所有使用该工具的内部研发、运维、测试人员都会在本地机器上留下后门，等同于“一把钥匙打开全公司所有门锁”。

“自动化不等于安全，流水线中的每一步都可能是黑客的潜伏点。”——这句话提醒我们，任何看似“可靠”的自动化流程，都必须配套 “可信任度校验” 与 “异常监测”。

---

案例背后的共性：供应链攻击的三大特征

通过对上述两起案例的剖析，我们可以归纳出供应链攻击的 三大核心特征，这些特征正是职工们在日常工作中最容易忽视的盲区：

特征	具体表现	典型案例
凭证泄露	攻击者通过钓鱼、漏洞或内部人员获取发布或 CI/CD 凭证，直接登录官方仓库或云平台。	Checkmarx KICS 发布者凭证被盗；Bitwarden Dependabot 使用被污染的 Docker 镜像。
合法功能遮蔽	恶意代码隐藏在看似正常的功能或依赖中，混淆安全检测。	KICS 镜像仍保留 IaC 扫描功能；Bitwarden CLI 中的 “Shai‑Hulud” 代码段伪装为业务逻辑。
链式传播	一次供应链被污染后，自动化工具或跨平台依赖导致后续项目被连锁感染。	KICS → Bitwarden CLI；CanisterSprawl npm 蠕虫跨生态系统跳转至 PyPI（未来可期）。

防患未然，必须“先知先觉”。在信息化、具身智能化、智能体化高度融合的今天，任何一次凭证泄露、一次依赖失控，都可能演化为跨系统、跨组织的大规模泄密事件。身处其中的每一位职工，都应成为 “第一道防线”。

---

信息化、具身智能化、智能体化的融合趋势与安全挑战

1. 信息化：数据洪流中的“薄弱环节”

企业正从传统信息系统向 云原生、微服务 迁移，代码仓库、容器镜像、NPM/PyPI 包等不断成为数据流动的关键节点。“数据即资产”，但资产的价值越高，攻击者的兴趣越浓”。在这种环境下，凭证管理、代码审计、供应链监控的要求被前所未有地放大。

2. 具身智能化：IoT 与边缘设备的“双刃剑”

随着 边缘计算、智能传感器（如工业机器人、智能摄像头）进入生产线，设备固件也会通过 OTA（空中升级）方式获取第三方库。若供应链被污染，固件层面的后门 甚至可以直接影响物理安全——这正是过去几年里频繁出现的“硬件后门” 议题的延伸。

3. 智能体化：AI Agent 与自动化脚本的安全盲区

AI 大模型、自动化 Agent 正在成为研发、运维的得力助手。例如，GitHub Copilot、ChatGPT 代码生成插件等，会自动下载并执行 外部代码片段。如果攻击者在公共仓库植入恶意提示（如 “在 Python 中使用 os.system 执行 …”），AI 代码助手可能不经意间将后门写进生产代码。这让 “人机协同” 成为新的攻击向量。

“技术越先进，安全的边界越模糊。”——企业必须在拥抱创新的同时，构建 “安全的底层框架”，让每一次技术升级都伴随严格的安全审计。

---

让每位职工成为安全的“光盾”：信息安全意识培训的必要性

基于上述背景，信息安全意识培训 不再是“可有可无”的软指标，而是 “硬通牒”。以下几点，凸显我们开展培训的迫切理由：

1. 提升凭证安全意识
   • 了解 钓鱼、社交工程 的最新手法；
   • 熟悉公司内部 凭证管理平台（如 HashiCorp Vault、AWS Secrets Manager）的使用规范；
   • 学会在 Docker Hub、GitHub 等平台设置 二因素认证（2FA） 与 最小权限原则。
2. 强化供应链风险识别能力

   

   • 掌握 SLSA（Supply Chain Levels for Software Artifacts） 以及 Sigstore、Rekor 等签名机制的基本概念；
   • 能够在 CI/CD 流水线中添加 镜像签名校验、依赖完整性检查（SBOM）步骤；
   • 了解 npm、PyPI、Docker Hub 的安全防护最佳实践，识别异常 “Tag 覆盖” 或 “Package 重新发布”。
3. 培养异常行为监测的直觉
   • 学会使用 日志聚合（ELK、Splunk）与 SIEM（如 Azure Sentinel）对关键资产进行实时监控；
   • 熟悉 行为分析（UEBA）模型，快速定位 异常登录、异常网络流量 与 异常文件改动。
4. 构建安全的 AI 与自动化使用习惯
   • 在使用 Copilot、ChatGPT 等代码生成工具时，务必审查生成代码的 依赖来源 与 安全性；
   • 为自动化 Agent 加入 可信执行环境（TEE） 与 运行时完整性检测，防止被利用植入恶意指令。
5. 形成全员协作的安全文化
   • 将 “安全是每个人的职责” 融入日常会议、代码审查、交付评审；
   • 鼓励 “报告即奖励” 的机制，任何发现的异常都应第一时间上报至 IR（Incident Response） 团队。

“防火墙垒不住内部的火种，唯有每个人的警觉心能把它扑灭。” —— 正如《孙子兵法》所言：“兵者，诡道也”，防御的关键在于 “知己知彼，百战不殆”。 我们每个人既是 “己”，也是 “彼”，必须时刻保持警惕。

---

培训方案概览

环节	内容	目标	形式
启动仪式	企业供应链安全全景图、案例剖析（含 Checkmarx、Bitwarden）	引发共情、树立危机感	现场演讲 + 视频
基础篇	凭证管理、2FA、最小权限、密码学基础	打好防御根基	线上自学 + 现场测验
进阶篇	SLSA 级别、签名验证、SBOM、容器镜像安全	掌握技术细节、提升检测能力	实战实验室（Docker、GitHub Actions）
AI 与自动化安全	Copilot、ChatGPT 代码审计、Agent 可信执行	防止 AI 滥用、保证自动化安全	案例研讨 + 代码审查工作坊
演练与红蓝对抗	模拟供应链攻击（篡改镜像、植入 npm 蠕虫）	实战演练、提升响应速度	红队攻击 + 蓝队防御（分组）
总结与考核	知识点回顾、现场答疑、评估报告	检验学习成效、形成闭环	书面考试 + 现场报告

培训将于 2026‑05‑10 正式开启，时长 两周，采用 线上+线下混合 方式，确保每位员工都有机会参与。完成全部培训并通过考核的员工，将获得 “信息安全先锋” 电子徽章，并可在公司内部安全社区中获得优先技术支持。

---

行动呼吁：从今天起，做安全的“灯塔守护者”

同事们，安全是一场 “没有终点的马拉松”。 正如《庄子》有言：“道千里而不忘其本”。我们在拥抱云原生、AI 赋能的浪潮时，绝不能忘记 “根本—凭证安全、代码完整性、供应链透明”。每一次点击、每一次提交、每一次拉取，都可能是攻击者潜伏的入口。

现在，请你立即行动：

1. 登录公司内部安全门户，完成 凭证管理 与 2FA 设置。
2. 报名参加 5‑10 May 信息安全意识培训（名额有限，先到先得）。
3. 在日常工作中，主动审查 依赖更新、核对 Docker 镜像签名、报告 可疑行为。
4. 将 学习体会 分享至公司安全朋友圈，让更多同事受益。

让我们共同筑起 “数字城墙”，用每一位职工的警觉、每一次安全审计、每一份培训学习，抵御供应链的暗潮，守护企业的核心资产。安如磐石，危如微尘，从我做起，才是最坚固的防线。

“天下大事，必作于细；安全防护，亦如此。”——愿我们每个人都是这座城池的 “灯塔守护者”，照亮前路，驱散暗潮。

昆明亭长朗然科技有限公司倡导通过教育和培训来加强信息安全文化。我们的产品不仅涵盖基础知识，还包括高级应用场景中的风险防范措施。有需要的客户欢迎参观我们的示范课程。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

在如今时时刻刻都在线的时代，组织中的每个人都是网络不法分子的攻击或利用目标，都面临着网络入侵或渗透的风险，从入门级员工一直到首席执行官，莫不如此。对此，昆明亭长朗然科技有限公司网络安全研究员董志军说：多年的网络安全历史及最近的网络安全事件表明，遭受网络攻击只是时间早晚问题。当然，组织机构若能够及早发现威胁并采取行动，无疑可以明显地减轻其可能带来的不良影响。通过实施一些网络安全宣传培训和意识教育活动，可以提高员工们的安全防范意识并建立强大的人员防线——人员防火墙。

网络安全泰斗表示：在诸如社交工程学大师等网络安全威胁面前，每位工作人员都很脆弱，组织必须提前教育他们，以使其拥有识别、应对和报告各类网络安全威胁的能力。安全意识培训应从新入职员工开始，并且每年对所有员工进行年度安全意识刷新。通过这些教育培训活动，保持在线安全会变得并不那么困难，用户可以采用一些主动措施来确保不会成为受害者。运气好的话，可以避免大多数可能出现的问题，并且在问题造成实际性的损害之前，加以有效的应对和处理。

当然，从管理角度来讲，培训旨在提升认知，加强沟通，需要有一个大的方向，即方针政策。因此，需要制定安全政策并定期更新，一个关键的原则是制定指导工作的信息安全政策。在组织内部，政策是高级法令，并不意味着依赖于纯技术型解决方案，政策对于获得认可并使员工保持安全轨道至关重要。许多中小企业甚至根本没有安全政策和计划，所以员工们根本不理解信息安全，更不会重视安全，也不会将安全认为是自己的分内工作职责。因此，为了有效地建立制度和维护流程，组织应该有少量的治理和政策。如果没有政策，当安全事件真实发生时，就需要到处去寻找可以指导解决问题的方针。

我们总是听说有在线服务泄露了用户名和密码，或者网站和设备遭到黑客攻击。作为用户，我们往往认为我们只能眼睁睁地等待成为目标。不过话说回来，一点点预防对保护我们的设备和个人数据大有帮助。那么，互联网用户首先应该主动保护自己的安全。未雨绸缪很重要，在遇到问题之前就应该考虑安全问题，而不仅仅是在危机袭来之后。实施如下几个步骤可以帮助我们防范许多安全问题，从而带来更安全的网络生活。

1. 在被感染之前使用防病毒或恶意代码防范软件。人们倾向于在遇到问题后安装防病毒软件，这种亡羊补牢的做法没什么问题，但是更应该成为一种预防措施。在安装了防病毒软件之后，许多问题都可以避免，例如病毒、恶意软件、广告软件、勒索软件，甚至网络钓鱼尝试。但是也不要过于自信，那就是认为安装了防病毒软件之后就可高枕无忧，那是自大！因为很多攻击都可以避过防病毒软件。
   通常来讲，无需担心应该使用哪种类型的防病毒软件，Windows自带的安全中心等解决方案涵盖了所有安全需求，包括恶意软件保护Defender、在线隐私安全、勒索软件保护、防火墙和家长控制等等。如果有预算，其他网络安全厂商的专业安全套件也可以。
2. 使所有的计算设备保持最新状态。由于各种原因，有些人会推迟更新手机或电脑，这无疑是一种不可取的行为，因为大部分技术类的攻击都是利用了未及时获得安全修复的系统或应用。不管什么设备、系统或应用程序，其中许多都会有定期的更新程序，其中包含针对漏洞和攻击的补丁，及时安装它们会使设备和系统难以受到攻击。同样的道理，不要以为安装了安全修复就可以成事大吉，因为新的漏洞总会不断被发现，零日漏洞的概念就是漏洞被发现的当天就被公开使用，在网络连通性和社交媒体如此发达的今天，被网络犯罪分子利用零日漏洞、未公开或未知的漏洞进行攻击，也是有可能的。因此，保持更新状态很重要，此外我们也需要更多的安全管控措施，保持头脑清醒很重要。
3. 为每项服务或系统使用复杂、唯一的密码。密码是通往信息数据的守门员，因此使用强密码是有道理的。年复一年，用户库存中仍然存在最常见的弱密码，包括123456、qwerty甚至password一词。这种弱密码通常是黑客或密码破解程序必试的，使用它们无疑是在将钥匙双手奉上。一个可靠的密码应该至少有八个字符长，并且包括大写字母、数字和符号。密码越复杂，暴力或字典攻击就越不可能猜到。为每项服务使用不同的密码是一个好主意。当然啦，要记住他们不大容易，如果要跟踪和记住的账号和密码太多，可以请尝试使用密码管理器。
4. 尽量避开公共Wi-Fi网络。免费互联网的诱惑，尤其是在数据计划受限的手机上，有时让人难以抗拒。但是在连接到如商场、交通甚至城市公共Wi-Fi之后，往往会带来风险。大多数情况下，这些类型的网络安全性很差，可以被不法分子用来监视使用Wi-Fi的网络流量。蹭网也不是个好主意，网络不法分子可以分享Wi-Fi账户和密码，进而实施网络监听、身份盗窃、广告植入和间谍破坏等不法活动。关于公共无线网络安全性与隐私性差的问题，公众应该不陌生，但是如果手机数据计划紧迫或过于昂贵，在迫不得已，只能使用公共Wi-Fi时，应尽可能使用值得依赖的VPN服务。有了VPN对通讯进行加密，用户的数据就会以一种使间谍活动变得非常困难的方式进行匿名化的保护。
5. 关闭移动设备的一些不必要的接口，除了连接无线耳机和支付，移动设备上的蓝牙和NFC似乎没有太多的使用场景，但是人们通常会开着它们。为了安全起见，请将其关闭。蓝牙协议已发现并修复了多个漏洞，但是其他未被发现的漏洞仍然可能被网络不法分子利用。NFC虽然有很多用途，包括用手机或智能手表代替信用卡进行快捷支付。虽然NFC协议和应用程序相当安全，但是也并非牢靠到无懈可击，在某些条件下，不法分子可以滥用NFC，进而拦截和盗窃财务信息。手机上的定位服务在导航时非常重要，但是有很多应用程序也可以访问同样的位置数据。根据权威部门的评测，不断有发现第三方应用程序会泄露用户的地理位置数据。如果不使用定位服务，请将其关闭，在使用的时候将其打开，非常简单的操作可以获得强大的隐私性。
6. 留意在网上特别是社交媒体上分享的内容。社交网络得以生存是因为人们喜欢分享各种信息，比如照片、文章或短视频。但是这些数据可能以一种并不总是显而易见的方式具有价值。例如，一些用户会分享他们正在海外度假或入住他们最喜欢的美食酒店。那些数据表示他们的房子或公寓目前是空着的，不法分子正好可以破门而入。此外，由于社交媒体的流动性很快，虚假新闻的传播速度也要比真实新闻快。人们很容易意外地分享错误的信息。这可能会导致重大数据泄露，给相关机构或人员带来严重影响，或者触犯网络安全相关法律，给网络社会和自己都惹来麻烦。
7. 社交媒体很发达，在商业领域，电子邮件仍然是电子沟通的常见方式。人们无法控制发送到他们电子邮箱的内容，但是应该控制收到的内容。通常来讲，避免打开来自未知发件人的、不请自来的、奇奇怪怪的电子邮件，直接删除它们。但是有时候这并不总是可行的，对于陌生来源的邮件，人们总是有些好奇心，这可能正是网络不法分子喜欢的“人性的弱点”，网络钓鱼诈骗分子通过钓鱼邮件来窃取人们的身份、数据和金钱。
8. 网络钓鱼威胁无处不在，有人的地方就有江湖，有沟通的渠道就有网络钓鱼。作为社会人，我们最好牢记国家机关、在线电商和金融服务从来不会在电话或即时消息等沟通渠道中，要求我们提供用户名、密码或财务信息。只要记住这一点，就应该能够避免大多数网络钓鱼尝试。此外，我们也要学会对00开头的海外来源、火星文错别字、具有威胁、奉承或特殊紧迫感的信息保持警惕，因为这些往往都利用人性弱点的钓鱼信息特征。防范网络钓鱼，睁大眼睛，不轻信很重要，当然还有很重要的一招，就是永远不要轻信对方所声称的身份，想方设法确认/核实对方身份的真实性，往往能够让不法分子立即原形毕露。

总之，每个人都可以获得上述所有这些技巧，而不仅仅是少数了解操作系统工作原理的高级管理员或IT人员。请记住，所有数据都具有价值，如果用户的数据真的一文不值，就不会有那么多黑客试图窃取它们。对于组织机构来讲，打击网络犯罪的斗争早已开始并长期持续！在此，我们强烈呼吁，不要再浪费时间了，立即行动起来，将员工们的头脑武装起来，在网络战争中，组织一道安全防御的“人力防火墙”，让网络不法分子难以找到可攻下的薄弱之处，进而乖乖而退或不战自降。

昆明亭长朗然科技有限公司积极顺应时代变化，专注于帮助各类型组织机构解决“人员”方面的安全风险，我们创作了大量的教程资源内容，包括安全、保密、合规等主题在内的电子图片、动画视频、互动游戏和电子课件，同时，我们拥有基于云计算的弹性学习管理系统，可以帮助各类型机构快速发起针对全员的安全意识在线学习计划，进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们，预览课程内容和洽谈采购事宜。

• 电话：0871-67122372
• 手机、微信：18206751343
• 邮件：info＠securemymind.com