信任鏈的崩解：從 Delve 到 Trivy
近日，科技產業的供應鏈安全性再次成為焦點。先是 compliance 新創公司 Delve 被匿名人士控訴「偽造合規」，接著廣泛使用的資安掃描工具 Trivy 被證實遭到供應鏈攻擊。這一連串的事件揭示了當前企業對於第三方供應商與安全基礎設施的過度依賴，已經成為了潛在的資安破口。
Delve 的「偽 compliance」醜聞
根據 TechCrunch 的報導，一份匿名 Substack 的爆料指控 Delve 透過「不實宣稱」讓數百名客戶誤以為其系統符合隱私與安全規範。這不僅涉及到商業詐欺，更讓許多企業的客戶資料陷入了暴露的風險中。根據美國聯邦貿易委員會（FTC）的規定，這類誤導消費者的行為屬於不公平或欺騙性貿易做法，Delve 極可能面臨嚴重的法律訴訟。
Trivy 掃描器的供應鏈攻擊
除了商業詐欺，技術漏洞亦不容忽視。安全機構證實 Trivy（一個在開發者社群廣泛使用的容器掃描工具）遭到惡意篡改。由於 Trivy 被全球數以千計的企業用於 CI/CD 流水線中，此次 compromise 的影響範圍極廣。專家警告，所有使用該工具的企業都必須進行「密鑰輪換」及系統全面稽核，這意味著許多企業將度過一個災難性的週末。
資安供應鏈的法律責任
這些事件凸顯了資安產品供應商在「secure-by-design」與對企業客戶的「注意義務」（Duty of Care）上正面臨更大的法律責任。隨著網路威脅的進化，法律界對於供應鏈漏洞的責任歸屬已不僅止於通知客戶，更可能涉及賠償責任。這對於以 SaaS 為主要模式的 compliance 工具而言，是一個嚴重的經營挑戰。
未來展望：透明化與防禦縱深
企業對於資安供應鏈的管理將邁入更加透明的時期。未來，軟體採購將不僅僅考量功能，更需要審視供應商的合規過程證明文件。這場危機將迫使企業從「信任供應商」轉向「驗證供應商」的零信任資安架構，並對所有關鍵資安基礎建設進行多重驗證。