<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[hasty的专栏]]></title><description><![CDATA[]]></description><link>https://blog.csdn.net/hasty</link><language>zh-cn</language><generator>https://blog.csdn.net/</generator><copyright><![CDATA[Copyright &copy; hasty]]></copyright><item><title><![CDATA[BYOK 终于能单独统计了：为什么用量报表仍不能证明代码数据没有外传]]></title><link>https://blog.csdn.net/hasty/article/details/170177013</link><guid>https://blog.csdn.net/hasty/article/details/170177013</guid><author>hasty</author><pubDate>Fri, 06 Nov 2026 07:24:37 +0800</pubDate><description><![CDATA[统计能力提高可见性，但计量、授权和数据流证明是不同问题。本文讨论字段口径、缺失数据、模型身份与个人信息治理，设计可信报表。标签：BYOK、AI治理、用量API、数据安全。]]></description><category></category></item><item><title><![CDATA[Dependabot支持Python 3.15：升级需分步验证Dependabot 支持 Python 3.15 之后：把依赖可更新与应用可运行分开验收]]></title><link>https://blog.csdn.net/hasty/article/details/170176953</link><guid>https://blog.csdn.net/hasty/article/details/170176953</guid><author>hasty</author><pubDate>Fri, 06 Nov 2026 07:23:50 +0800</pubDate><description><![CDATA[依赖机器人支持新解释器，解决的是更新流程的一环。本文讨论解析、构建、测试和部署的版本矩阵，给出迁移证据与回退设计。标签：Python、Dependabot、依赖安全、升级治理。]]></description><category></category></item><item><title><![CDATA[CodeQL 2.27.3 增加 AI 威胁模型：为什么启用模型之前必须先定义数据源]]></title><link>https://blog.csdn.net/hasty/article/details/170176866</link><guid>https://blog.csdn.net/hasty/article/details/170176866</guid><author>hasty</author><pubDate>Fri, 06 Nov 2026 07:22:45 +0800</pubDate><description><![CDATA[公告还提示Actions控制流图相关变更可能影响依赖旧结构的自定义查询。即使团队主要关注AI来源，也应检查自己的查询是否依赖被调整的接口。版本升级不只是获得新能力，还可能需要适配。建议保留旧基线与代表性查询结果，升级后比较编译、执行和结果差异。结果减少可能是误报改善，也可能是模型失配；结果增加可能是覆盖扩大，也可能是传播过宽。必须通过案例和路径解释判断。]]></description><category></category></item><item><title><![CDATA[Dependabot 开始更新智能体技能依赖：版本更新之后，还要审查哪些行为变化]]></title><link>https://blog.csdn.net/hasty/article/details/170108948</link><guid>https://blog.csdn.net/hasty/article/details/170108948</guid><author>hasty</author><pubDate>Thu, 05 Nov 2026 07:38:28 +0800</pubDate><description><![CDATA[提示、技能和指令也会改变执行行为。本文讨论智能体依赖更新的内容审查、锁文件、权限差异和验收，避免把自动更新误当成安全认证。标签：APM、Dependabot、智能体供应链、依赖治理。]]></description><category></category></item><item><title><![CDATA[告警能自动串联修复之后：用触发边界、去重和预算控制自动化失控]]></title><link>https://blog.csdn.net/hasty/article/details/170108809</link><guid>https://blog.csdn.net/hasty/article/details/170108809</guid><author>hasty</author><pubDate>Thu, 05 Nov 2026 07:37:38 +0800</pubDate><description><![CDATA[单次任务安全不代表自动化链路安全。本文从事件来源、循环、重复、权限和额度出发，设计可停止、可追踪的漏洞治理自动化。标签：CI/CD安全、事件驱动、安全运营、自动化治理。]]></description><category></category></item><item><title><![CDATA[自动化开始学习结果之后：怎样防止反馈把安全规则越改越松]]></title><link>https://blog.csdn.net/hasty/article/details/170108617</link><guid>https://blog.csdn.net/hasty/article/details/170108617</guid><author>hasty</author><pubDate>Thu, 05 Nov 2026 07:36:58 +0800</pubDate><description><![CDATA[接受率是行为信号，不等于安全正确率。本文分析反馈偏差、优化目标、评审与回退，设计让自动化改进仍受控的工程流程。标签：安全自动化、反馈治理、AI代码审查、变更管理。]]></description><category></category></item><item><title><![CDATA[智能体记住了错误约定怎么办：代码记忆、跨仓库搜索与知识失效治理]]></title><link>https://blog.csdn.net/hasty/article/details/170048811</link><guid>https://blog.csdn.net/hasty/article/details/170048811</guid><author>hasty</author><pubDate>Wed, 04 Nov 2026 16:34:25 +0800</pubDate><description><![CDATA[跨会话记忆提高上下文复用能力，也会让旧假设持续影响新代码。本文讨论知识来源、作用域、失效条件和访问权限，给出可维护的记忆记录结构。标签：AI辅助编码、知识治理、代码安全、访问控制。]]></description><category></category></item><item><title><![CDATA[本地推理不等于离线：从模型下载到运行时，重新检查开发工具供应链]]></title><link>https://blog.csdn.net/hasty/article/details/170048797</link><guid>https://blog.csdn.net/hasty/article/details/170048797</guid><author>hasty</author><pubDate>Wed, 04 Nov 2026 16:33:39 +0800</pubDate><description><![CDATA[本地模型把部分计算移到设备，也增加模型文件、推理运行时与插件的维护责任。本文给出来源核验、最小运行权限、网络边界和升级验收方法。标签：模型供应链、本地模型、AI安全、依赖治理。]]></description><category></category></item><item><title><![CDATA[多模型协作不等于独立审计：Fusion 正式可用后怎样验证 AI 代码结论]]></title><link>https://blog.csdn.net/hasty/article/details/170048769</link><guid>https://blog.csdn.net/hasty/article/details/170048769</guid><author>hasty</author><pubDate>Wed, 04 Nov 2026 16:32:47 +0800</pubDate><description><![CDATA[多个模型给出相同答案，仍可能依赖同一错误前提。本文从审计独立性出发，设计事实记录、反例验证、授权判断和变更验收流程。标签：AI辅助编码、代码审计、多模型、安全评审。]]></description><category></category></item><item><title><![CDATA[密钥没有固定前缀也能被拦截：上下文检测如何接入代码提交流程]]></title><link>https://blog.csdn.net/hasty/article/details/169920253</link><guid>https://blog.csdn.net/hasty/article/details/169920253</guid><author>hasty</author><pubDate>Tue, 03 Nov 2026 09:03:21 +0800</pubDate><description><![CDATA[固定格式匹配之外，密钥检测正在利用周围代码判断可疑字符串的用途。本文根据 GitHub 最新公开预览动态，讨论上下文检测的适用边界、误报复核、历史提交清理与评估方法，给出不包含真实凭据的演练方案。标签：密钥安全、Secret Scanning、推送保护、开发流程、AI安全。]]></description><category></category></item><item><title><![CDATA[AI 已经改好漏洞，为什么还不能合并：建立本地安全补丁的验证链]]></title><link>https://blog.csdn.net/hasty/article/details/169919878</link><guid>https://blog.csdn.net/hasty/article/details/169919878</guid><author>hasty</author><pubDate>Tue, 03 Nov 2026 09:02:32 +0800</pubDate><description><![CDATA[安全修复进入开发者本地工作区后，真正困难的是证明补丁修到了问题根部。本文以 Copilot 安全扩展公开预览为入口，围绕候选补丁、独立验证、误报处理和变更失效，设计一套适合团队评审的修复流程。标签：代码安全、AI辅助编码、补丁验证、代码审计、回归测试日期：2026-11-01，北京时间。官方动态发布于2026-10-28，状态为公开预览。文中案例是教学构造，不对应真实漏洞编号或实测产品结论。]]></description><category></category></item><item><title><![CDATA[Copilot 支持服务间认证：怎样把组织身份、调用额度和租户边界一起管起来]]></title><link>https://blog.csdn.net/hasty/article/details/169919618</link><guid>https://blog.csdn.net/hasty/article/details/169919618</guid><author>hasty</author><pubDate>Tue, 03 Nov 2026 08:59:51 +0800</pubDate><description><![CDATA[当 AI 能力从开发者桌面进入后台服务，认证的主体也随之改变。本文根据 Copilot 服务间认证的公开预览公告，分析应用安装、短期令牌、组织授权与内部租户映射之间的关系，给出后端接入的设计步骤和评审清单。标签：GitHub Copilot、服务身份、GitHub App、最小权限、多租户安全。]]></description><category></category></item><item><title><![CDATA[智能体工作流输出边界]]></title><link>https://blog.csdn.net/hasty/article/details/169800208</link><guid>https://blog.csdn.net/hasty/article/details/169800208</guid><author>hasty</author><pubDate>Mon, 02 Nov 2026 07:16:39 +0800</pubDate><description><![CDATA[建议从输出开始设计。任务究竟需要生成报告、提出补丁、创建草稿，还是直接更新业务对象？不同结果对应不同授权与恢复要求，不应统一放在“自动完成”按钮之后。对每种输出，记录目标资源、字段范围、大小上限和业务限制。例如标签建议只能使用预先批准的标签，文档更新只能影响指定目录，测试建议不能顺带修改发布配置。这些约束应由可信执行器核对，而不只是写在提示词里。模型可以解释为什么建议这么做，程序仍要独立判断建议是否属于允许的任务范围。]]></description><category></category></item><item><title><![CDATA[AI 应用代码扫描进入公开预览：从外部内容到工具动作，怎样审查信任边界]]></title><link>https://blog.csdn.net/hasty/article/details/169800027</link><guid>https://blog.csdn.net/hasty/article/details/169800027</guid><author>hasty</author><pubDate>Mon, 02 Nov 2026 07:15:38 +0800</pubDate><description><![CDATA[AI 应用的风险不只来自生成代码，还来自外部内容影响工具执行。本篇结合 GitHub 10 月 28 日代码扫描更新，讨论输入来源、模型上下文、工具授权和输出验证，给出可用于评审的数据流模板。标签：AI 应用安全、提示注入、代码审计、智能体、信任边界。]]></description><category></category></item><item><title><![CDATA[GitHub 新增 Webhook 地址段之后：接收端怎样同时保证来源可信与事件不丢]]></title><link>https://blog.csdn.net/hasty/article/details/169799784</link><guid>https://blog.csdn.net/hasty/article/details/169799784</guid><author>hasty</author><pubDate>Mon, 02 Nov 2026 07:14:48 +0800</pubDate><description><![CDATA[Webhook 网络白名单发生变化时，接收端可能静默丢失构建或审查事件。本篇以 10 月 29 日官方更新为入口，拆解网络过滤、原始报文验签、幂等处理、持久队列和重放恢复，给出可离线检查的签名验证函数。标签：Webhook、HMAC、持续交付、事件驱动、安全开发。]]></description><category></category></item><item><title><![CDATA[插件默认安装之后，谁决定研发环境的能力：从仓库配置走到企业供应链治理]]></title><link>https://blog.csdn.net/hasty/article/details/169746953</link><guid>https://blog.csdn.net/hasty/article/details/169746953</guid><author>hasty</author><pubDate>Sun, 01 Nov 2026 20:06:37 +0800</pubDate><description><![CDATA[插件可以同时带来工具、提示模板和外部连接，默认启用机制使其成为研发环境的重要供应链输入。本篇结合 GitHub 新近插件治理更新，讨论来源、权限、策略优先级、升级和退出，并区分产品策略与国内外政策背景。标签：插件安全、研发环境、软件供应链、企业策略、安全开发。]]></description><category></category></item><item><title><![CDATA[漏洞可达性分诊]]></title><link>https://blog.csdn.net/hasty/article/details/169746945</link><guid>https://blog.csdn.net/hasty/article/details/169746945</guid><author>hasty</author><pubDate>Sun, 01 Nov 2026 20:05:30 +0800</pubDate><description><![CDATA[版本命中之后，团队还需要理解漏洞代码是否进入应用调用路径。本篇结合 Dependabot 可达性分析公开预览，设计保留未知状态的分诊流程，解释调用证据、动态行为与生产上下文如何共同决定修复顺序。标签：漏洞治理、可达性分析、Dependabot、CodeQL、依赖安全。]]></description><category></category></item><item><title><![CDATA[GitHub Actions 锁文件正式可用：把工作流依赖从可变标签变成可审查输入]]></title><link>https://blog.csdn.net/hasty/article/details/169746934</link><guid>https://blog.csdn.net/hasty/article/details/169746934</guid><author>hasty</author><pubDate>Sun, 01 Nov 2026 20:03:47 +0800</pubDate><description><![CDATA[应用依赖有锁文件，构建它的工作流也需要明确输入。本篇结合 GitHub 10 月 28 日更新，讨论工作流依赖锁定、间接引用、升级评审、失效处理和迁移验收，说明确定性与安全性的区别。标签：GitHub Actions、软件供应链、CI/CD、依赖锁定、DevSecOps。]]></description><category></category></item><item><title><![CDATA[无法拿到源码怎么做 SCA、漏洞审计、合规取证]]></title><link>https://blog.csdn.net/hasty/article/details/169652196</link><guid>https://blog.csdn.net/hasty/article/details/169652196</guid><author>hasty</author><pubDate>Sat, 31 Oct 2026 21:07:08 +0800</pubDate><description><![CDATA[在军工、嵌入式、装备项目中，大量第三方组件、驱动 SDK、固件、动态库 so/dll、固件镜像都**不提供源代码**，传统 SAST 完全失效，常规源码 SCA 也很难识别组件。但 GB/T43698、GJB/Z141-2025 依然要求完成供应链风险评估、生成 SBOM、漏洞研判。本文针对无源码场景，梳理二进制成分分析、固件解包、符号恢复、漏洞匹配、二进制模糊测试、哈希溯源等技术路线，区分商用工具与开源工具能力边界，给出可用于测评验收的落地流程、证据交付包以及高频踩坑点。]]></description><category></category></item><item><title><![CDATA[2026 软件供应链合规的“标准落地年”：SBOM 国标、安全开发评估准则与三条工程断点]]></title><link>https://blog.csdn.net/hasty/article/details/169651856</link><guid>https://blog.csdn.net/hasty/article/details/169651856</guid><author>hasty</author><pubDate>Sat, 31 Oct 2026 20:26:24 +0800</pubDate><description><![CDATA[2026 年是中国软件供应链安全标准密集落地的一年。GB/T 47020—2026《软件物料清单数据格式》于 8 月 1 日实施，GB/T 47470—2026《软件安全开发能力评估准则》于 11 月 1 日实施，电信和互联网领域的 YD/T 7308—2026 与 YD/T 7310—2026 也已发布，《人工智能代码生成服务安全要求》于 5 月立项。标准供给已经完成，真正的缺口在工程侧：SBOM 有了统一格式，却大多停留在交付文件；发布门禁存在，却挡不住构建时载荷；]]></description><category></category></item></channel></rss>