“源圖2.0”亮相世界互聯(lián)網(wǎng)大會烏鎮(zhèn)峰會

11月9日下午舉行的2022年世界互聯(lián)網(wǎng)大會烏鎮(zhèn)峰會開源技術(shù)生態(tài)創(chuàng)新發(fā)展論壇上，由中國科學(xué)院軟件研究所、中科南京軟件技術(shù)研究院建設(shè)的開源軟件供應(yīng)鏈重大基礎(chǔ)設(shè)施“源圖2.0”正式發(fā)布。這標志著該重大基礎(chǔ)設(shè)施建設(shè)取得重要階段性成果，為國內(nèi)開源軟件可靠供應(yīng)鏈構(gòu)建提供了有效支撐。

近年來，軟件及信息技術(shù)產(chǎn)業(yè)迅猛發(fā)展，伴隨著開源軟件自身的開放性、高質(zhì)量、靈活性等特點，基于開源軟件開發(fā)已成為新一代軟件開發(fā)模式。與此同時，國內(nèi)開源軟件供應(yīng)鏈風(fēng)險事件卻頻頻發(fā)生，使用開源軟件所面臨的威脅也日益突出。

針對開源軟件可靠供應(yīng)問題，2021年3月，在南京市支持下，國內(nèi)首個開源軟件供應(yīng)鏈重大基礎(chǔ)設(shè)施平臺“源圖”在南京麒麟科創(chuàng)園正式啟動建設(shè)，旨在應(yīng)對開源軟件供應(yīng)中的風(fēng)險，突破軟件領(lǐng)域關(guān)鍵核心技術(shù)，建設(shè)國內(nèi)首個開源軟件采集存儲、開發(fā)測試、集成發(fā)布、運維升級一體化設(shè)施，打造服務(wù)全球的開源代碼知識圖譜和開源軟件供應(yīng)鏈體系，保障軟件供應(yīng)安全和產(chǎn)業(yè)創(chuàng)新發(fā)展。

中科院軟件研究所研究員吳敬征介紹，去年9月發(fā)布的“源圖1.0”構(gòu)建了開源軟件供應(yīng)鏈知識圖譜，首次將可維護性分析、安全性分析、合規(guī)性分析等功能同時引入平臺。如今，升級版“源圖2.0”已集成超千萬的開源項目，實現(xiàn)了針對軟件的推理、預(yù)測、推薦等多重功能。

“源圖2.0”包括合規(guī)性分析、安全性分析、可維護性分析、供應(yīng)鏈推薦四大核心功能，目前已累計獲取、分析開源軟件超過1000萬款，構(gòu)建了開源軟件知識圖譜，實體數(shù)量達到4643萬，關(guān)系數(shù)量超過6.5億條。此外，還實現(xiàn)了3256種開源許可證的沖突關(guān)系圖譜構(gòu)建，發(fā)現(xiàn)超過20萬個項目存在合規(guī)性風(fēng)險，707個項目被“投毒”成功，其中114個漏洞已獲得正式編號，56個漏洞面向公眾公開，占全球已公開PyPI投毒相關(guān)漏洞比例的96%。

值得一提的是，“源圖2.0”還能實現(xiàn)智能軟件供應(yīng)鏈推薦，已覆蓋操作系統(tǒng)、大數(shù)據(jù)、金融、人工智能等12個行業(yè)場景。以工業(yè)軟件供應(yīng)鏈為例，“源圖2.0”建立了超1.9萬個工控物聯(lián)網(wǎng)固件的固件分析數(shù)據(jù)集，共發(fā)現(xiàn)漏洞22萬余次，其中高危漏洞約占20%。在對國家關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域風(fēng)險檢查方面，發(fā)現(xiàn)漏洞、病毒等安全威脅1500余個。今年10月，“源圖”成功入選“南京市2022年軟件和信息服務(wù)優(yōu)質(zhì)應(yīng)用場景名單”。

當天活動現(xiàn)場，同時發(fā)布了開源軟件供應(yīng)鏈技術(shù)白皮書，以及包括軟件合規(guī)性分析等在內(nèi)的12種功能場景，為全社會提供開源軟件供應(yīng)鏈基礎(chǔ)設(shè)施平臺支撐。(記者 杜瑩 通訊員 王浩)