报告概述
在应用安全领域，人工智能已不再是可有可无的选项；它已成为现代软件交付的核心执行层。到2026年，人工智能也将成为重塑软件供应链攻击设计、规模化和持续性的主要力量之一。
本报告分析了攻击者在 2025 年如何利用自动化、信任和人工智能驱动的工作流程，以及这些模式为何定义了 2026 年的应用安全威胁模型。报告涵盖了新兴的人工智能生成技术。 code security 这些风险会加速不安全模式的出现，降低代码审查的有效性，并创造传统的应用安全工具无法检测到的新攻击面。
为什么传统的应用安全信号在 2025 年会失效： CVE编号、严重性评分和静态分析未能发现那些滥用信任和自动化而非利用已知漏洞的攻击。威胁模型已经转变，但相关工具却基本没有改变。
持久化如何从访问工件转变为访问工件： 破坏建筑 pipeline 攻击者可以通过可信工件、缓存和发布渠道制造长期存在的下游风险。本报告阐述了攻击者如何利用这种持久化途径。
攻击者在 2025 年优化了哪些方面，以及他们将在 2026 年继续优化哪些方面： 速度、规模、合法性、自动化以及代码中固有的信任， pipeline软件分发系统。了解攻击者的优化策略可以帮助防御者确定首要关注点。
现代应用安全团队现在需要做出以下防御性转变： 从以问题为中心的漏洞工作流程转向系统级的执行、来源和信任控制，以及这对安全团队的结构和工具配置意味着什么。
了解人工智能在应用安全领域如何重塑软件供应链风险，并获得现代应用安全团队应对风险所需的防御框架。
本报告是为……而撰写的 CIS操作系统、应用安全领导者、DevSecOps工程师和平台安全团队需要了解2026年应用程序安全威胁形势的变化情况以及应对措施。
