Night Charm 在供应链安全方向设想中发帖背景: 没有任何安全方向的基础. 纯粹是个麻瓜 TwT 需要做漏洞触达验证. 有佬友有相关的思路或方案嘛 !!! 看了下目前...

Night Charm 在供应链安全方向设想中发帖

背景:
没有任何安全方向的基础. 纯粹是个麻瓜 TwT
需要做漏洞触达验证.
有佬友有相关的思路或方案嘛 !!!

看了下目前能够提供的内容

组件的SBOM信息
tmd 好像就一个sbom信息. 其他的啥都没有

目前能想到的

缺失 CVE对应的POC, 或者说是 CVE 的触达链路
缺失源代码的识别分析. 嗯是的目前不涉及源代码的识别
缺失组件的源代码信息

有去了解过 SAST的能力, 最终发现即使知道CVE 和对应组件源码, 目前SAST 也不能稳定获取这个触达的链路
想法:
既然没有CVE的链路, 那就让LLM 分析 CVE + 组件源码, 获取所谓的触达链路. 这里完全依托与模型自己的脑子
然后对项目代码也直接扔给LLM 分析触达链路是否联通.
落地问题

CVE 触达链路在没有POC的场景下不稳定,
做了下embedding 但是…

详情链接：
https://linux.do/t/topic/1343088/1

来源: LINUX DO, 消息ID: 263416