软件供应链安全困境为何持续恶化

漏洞报告数量空前增长，大量由聊天机器人生成的低质量报告涌入项目，即便多数漏洞赏金计划已因此关停，维护者仍需逐一甄别修复。Gentoo 维护者被迫为并不影响本项目的漏洞做无意义的安全加固和版本升级，以规避安全扫描器的误报。多数项目缺乏 LTS 或安全分支，安全修复常与新功能、API 变更混在一起，下游升级代价高昂。