今日技术观察 点击查看原文> 01 背景速览 HashiCorp Packer 1.16 的一项重要更新，是支持机器镜像 SLSA 来源证明的生成与核验。简单来说，企业在构建机器镜像时，可以围绕其来源和构建过程形成可核验的信息，为后续的软件交付与运行环境管理增加一层可追溯依据。这项能力与云基础设施、自动化交付和镜像管理等场景存在直接关联。 02 趋势影响 从行业趋势看，软件供应链安全正在从关注单个组件，逐步延伸到代码、构建流程、制品和部署环境的连续追踪。SLSA 来源证明为企业提供了一种描述构建来源的标准化思路，但它并不意味着供应链风险可以自动消除。证明信息是否完整、生成环节是否可信、核验结果如何进入实际流程，仍取决于企业自身的工具链和管理机制。 03 企业应用启发 对于企业而言，可以考虑将机器镜像构建纳入统一的软件供应链治理范围，在持续集成、制品仓库和部署审批等环节明确来源信息的记录与核验责任。对于涉及人工智能应用的团队，模型服务所依赖的操作系统镜像、运行时环境和基础组件同样值得纳入检查范围。不过，具体落地方式仍需要结合现有平台、团队能力和业务的重要程度进行评估。 04 合规观察 在合规和安全管理方面，企业需要注意，SLSA 来源证明属于辅助治理能力，不能替代漏洞扫描、访问控制、变更审计和供应商管理等既有措施。证明数据中可能涉及构建环境、依赖关系或内部流程信息，企业应根据数据敏感程度设置访问权限，并明确证明生成、保存、核验和失效处理的责任边界。同时，也应避免把“能够核验来源”直接等同于“制品绝对安全”。 05 开放讨论 围绕这项更新，企业可以进一步讨论：机器镜像的来源证明应由哪个团队负责维护？现有持续集成流程是否具备生成和核验证明的条件？证明核验结果是否应成为生产部署的必要门槛？对于人工智能应用的基础镜像和运行环境，企业是否需要建立更加细分的供应链审查规则？ 公开来源参考 HashiCorp Packer 1.16 发布，支持机器镜像 SLSA 来源证明生成与核验