你用的開源套件
藏了誰的程式碼？
紅色供應鏈 ／ RED SUPPLY CHAIN
一次下載，就可能把中國大陸來源／惡意元件帶進你的系統。
「紅色供應鏈」指來自中國大陸來源、或被植入後門／惡意程式的開源套件與第三方元件。它會跟著一次 npm／Maven／PyPI 下載，直接進入開發環境與正式系統，是目前最難靠人工發現的資安破口。
看不見，不代表沒有
什麼是「紅色供應鏈」？
紅色供應鏈（Red Supply Chain）是指軟體供應鏈中，來自中國大陸來源、或被惡意植入後門與惡意程式的開源套件、函式庫與第三方元件。
現在幾乎沒有軟體是「從零寫到好」——開發團隊大量引用開源套件與 SDK，但這些元件來自哪裡、有沒有被動過手腳，往往沒人說得清。只要其中一個元件有問題，惡意程式就會跟著一次下載進到你的系統，而且通常看不見、也不會報錯。
紅色供應鏈的風險有多真實？
供應鏈攻擊之所以危險，是因為它繞過了傳統防毒與邊界防火牆——惡意程式不是從外面打進來，而是你「自己主動下載」進來的。紘瑒科技（Cloudforce）每日巡查前 400 大熱門套件，截至 2026/10 已列管 93 條高風險來源、其中 16 條證實含惡意程式。
- 93 列管
高風險來源 - 16 已證實
含惡意程式 - 400 熱門套件
每日巡查
資料來源：紘瑒科技供應鏈安全情報，持續列管更新，有新發現即時納管。
這些惡意套件是怎麼進到系統的？
紅色供應鏈元件的滲入路徑，通常藏在開發團隊每天都在做的動作裡：
-
套件下載
一次 npm install、mvn、pip install 就把帶原罪的元件與其相依套件一起拉進專案。
-
相依鏈汙染
你信任的套件，可能間接相依到有問題的上游元件（transitive dependency），肉眼難以察覺。
-
AI 模型與映像檔
風險已不限於程式套件——從 Hugging Face 拉的 AI 模型、Docker 映像檔同樣可能挾帶惡意內容。
-
無明顯徵兆
多數惡意程式潛伏執行，不會跳錯誤、不影響功能，等到被利用才爆發。
紘瑒科技如何協助偵測與阻擋紅色供應鏈？
防護有兩種落地方式：以 Sonatype Repository Firewall 在下載當下自動阻擋，或透過一次性開源套件安全檢測盤點既有專案、產出 SBOM。
-
Sonatype
Repository Firewall從源頭擋下
Sonatype Repository Firewall 會在套件「下載的當下」就自動比對、阻擋惡意與紅色供應鏈元件。可設定三種處置：Fail（阻擋）、Warn（放行但警示）、記錄，讓安全與開發效率取得平衡。它保護的範圍不只開源套件，連 AI 模型（Hugging Face）、Docker 映像檔也一起納管，並可搭配 Zscaler 代管部署。適合希望「問題在進門前就擋掉」的團隊。
-
一次性開源套件安全檢測
還沒導入也能先體檢
把專案打包（WAR／ZIP／JAR／.tar.gz 等）交給紘瑒，我們會盤點你實際用到的套件、揪出紅色供應鏈與惡意元件，並產出清單。特別適合被要求提交 SBOM（軟體物料清單）、或想先確認「我到底用了什麼」的團隊——不必先導入任何系統，就能先做一次完整體檢。
Sonatype 在軟體生命週期的哪一段把關
把關點放在套件進來的那一刻，後面每一段就不必再回頭清查。
-
下載套件時
Sonatype Repository Firewall 在下載的當下比對，有問題的元件依 Fail／Warn 設定直接阻擋或警示，不會進到開發環境。
-
開發與建置時
開發人員與建置流程都從同一個受管的套件來源取用，被擋下的元件不會出現在建置結果裡，不必等到上線前才回頭清查。
-
上線與稽核時
阻擋與警示都有紀錄；搭配一次性開源套件安全檢測盤點既有專案、產出 SBOM，回應稽核與客戶的要求。
哪些單位最需要關注紅色供應鏈？
-
軟體開發商、系統整合商（SI）
交付的產品一旦含紅色供應鏈元件，風險會延伸到所有客戶。
-
政府機關與公部門
對來源與資安合規要求最嚴格，需明確排除中國大陸來源元件。
-
金融、醫療等高度監管產業
常被要求提交 SBOM 與供應鏈風險評估。
-
任何大量使用開源套件、AI 模型的開發團隊
常見問題 FAQ
紅色供應鏈和一般的軟體漏洞有什麼不同？
一般漏洞是程式本身的瑕疵（如寫法不當造成的 CVE）；紅色供應鏈則是元件來源或供應端本身被植入惡意程式或具地緣政治風險，問題不在你的程式碼，而在你「引用了誰的程式碼」。
我沒有導入任何資安系統，可以先知道自己有沒有風險嗎？
可以。透過紘瑒的一次性開源套件安全檢測，把專案打包交給我們盤點即可，不需先導入任何平台，就能拿到你實際使用套件的風險清單與 SBOM。
Sonatype Repository Firewall 會不會擋掉正常套件、影響開發速度？
不會被迫二選一。它支援 Fail／Warn／記錄 三種處置，可針對不同風險等級分別設定——高風險直接阻擋、中低風險放行但警示，兼顧安全與開發效率。
除了開源套件，AI 模型和容器映像也要防嗎？
要。現代供應鏈風險已擴及 Hugging Face 的 AI 模型與 Docker 映像檔，Sonatype Repository Firewall 可一併納入保護範圍。