開源相依與商業 SDK 裡有什麼，
先盤清楚

開發階段 ／ 軟體供應鏈安全

DevaEye 軟體安全檢測以開源組件、商業 SDK 與紅色供應鏈比對為主軸。依據台灣屬地資安原則，顧問交付專案專屬檢測報告：標註陸製來源與組織背景、提供三色威脅狀態對照與替代建議。報告是清楚的對照依據，更是工程落地的實體防線。

看交付內容 聯絡顧問
顧問對照軟體供應鏈清冊（示意圖）

What you receive

兩項交付，每次都交

客戶實際收到的是來源與威脅狀態對照，以及版本與替代建議。

  • 陸製來源與威脅燈號對照（示意圖）

    來源與狀態

    陸製來源與威脅燈號對照

    附具公信力的已知陸製套件比對清單。專案名稱、託管生態、關聯組織實體清楚標註；以綠燈常規維護、黃燈隱私遙測／特權、紅燈重大漏洞／惡意投毒三色燈號呈現，作為稽核與把關的客觀對照依據。

  • 危險版本與替代路徑（示意圖）

    修復建議

    危險版本與替代路徑

    針對比對命中的組件，將受影響版本與安全修復或中立替代並排。沒有官方修復的組件，顧問給出沙盒隔離、Commit 凍結或中立開源框架（如 Apache／Linux 基金會專案）的具體替代路線。

What gets flagged

清冊裡會標的風險

  • 紅色供應鏈與商業 SDK 依台灣資通安全管理法原則，嚴格比對法定實體、核心維持者管轄權與商業專有組件（含友盟、微信、商湯、帆軟等），不以是否已知投毒為限。
  • 三級安全威脅狀態 不只標來源，更分風險本質：常規合法維護（綠燈）、過度遙測與特權通訊（黃燈）、已爆發 RCE 或惡意投毒（紅燈），讓開發與資安一眼看出處置急迫性。
  • 精準排除國際中立誤報 導入加權決策模型，嚴格排除純簡中 i18n 翻譯或少數社群貢獻者之國際專案（如 React、Kubernetes），把雜訊降到最低。
套件清冊視覺（示意圖）

How the work runs

先定範圍，再掃當次清單

  1. 定範圍

    確認應用、語言、倉與分支、是否含雲端 SDK 與模型套件。範圍外不寫進本次交付。

  2. 當次掃描

    當次掃描最新搜集清單。清單每週由顧問更新維護。

  3. 收件

    開發拿具體的排修與替代順序；稽核拿系統 SBOM 與陸製威脅對照附錄。同一份檢測結果，依對象給出能立即對照的依據。

Consultant value

提交顧問價值

  • 報告

    來源與威脅對照

    專案名稱、託管生態、關聯組織，加上三色燈號。稽核直接拿來對照。

  • 說明

    修補與中立替代

    受影響版本旁寫安全修復或中立替代。沒有官方修復的，給出沙盒隔離、Commit 凍結或基金會專案路線。

  • 時效

    顧問時效

    清單更新與顧問回覆的時效，依服務等級寫在合約。

檢測報告與陸製比對對照表為顧問交付材料，本於檢測基準日之公開情資與已知實體特徵庫產製，供專案資安合規參考與修補對照。畫面為示意，非正式產品介面。

LET’S DEFINE THE NEXT STEP

有需求，請聯絡顧問

談要盤哪些應用、是否含雲端與模型套件，以及每週比對的節奏。

聯絡顧問