美国CISA发布《开源软件:安全原则与实践》指南

编者按

2026年7月30日，美国国土安全部网络安全和基础设施安全局（CISA）发布《开源软件：安全原则与实践》（Open Source Software: Security Principles and Practices）指南，面向美国联邦机构提供开源软件全生命周期治理实操指引。该文件是落实美国第14144号、第14306号总统行政令中软件供应链安全要求的专项产出，涵盖开源软件使用、向开源项目贡献代码、自研定制软件对外开源发布等场景，对全球政企开展开源供应链安全管理具备参考意义。

该指南指出开源软件（Open Source Software，简称OSS）已深度部署于美国联邦机构（简称机构）各类系统和网络之中。OSS虽带来代码透明、灵活可定制等优势，但也存在安全责任下沉、维护无强制保障、供应链风险需自行承担等问题，下游使用者必须自行负责全生命周期安全管理。

指南界定OSS定义，指出OSS具有社区驱动开发、透明性、参与者匿名性、可定制性四大独有特征，归纳OSS具有通过透明性获得安全、减少供应商锁定、降低成本效率、使命契合定位四大优势，提出覆盖机构使用、贡献、发布三类场景的全生命周期治理要求，同时明确提出开源AI模型不能直接套用普通OSS评估逻辑，需提升风险等级并审慎使用。

指南共包含概览、引言、开源软件解决方案使用、开源软件项目贡献、开源软件生产发布、开源人工智能模型评估、结论七个核心章节，并附有C4可信评估框架、源代码清单元数据字段规范、JSON元数据格式示例三项附录，形成从原则要求到落地工具的完整体系。

对应“开源软件解决方案使用”章节，场景为机构引入、使用第三方开源组件。

针对Log4Shell、XZ-Utils等供应链事件暴露的依赖不可见等风险，指南要求将OSS纳入全生命周期管理。选型阶段，应建立审查批准流程，采用前依据C4框架评估可信性并审查许可证，且持续评估。使用阶段，应在资产清单中追踪OSS组件，借助SBOM厘清依赖，持续监控漏洞和停止支持，定期开展安全评估。补丁管理遵循“协作而非要求”“修复推送上游”原则，主动与社区协作，并负责实施和验证补丁。无可用补丁时，按协调漏洞披露程序或项目VDP报告，维护者无响应则重新评估组件使用。

对应“开源软件项目贡献”章节，场景为机构在使用开源软件过程中，向上游开源社区提交代码、修复补丁。

机构鼓励将使用中的改进回馈上游，包括安全修复、缺陷报告、文档和技术讨论，以减少重复工作、惠及所有用户，并使政府资助的改进得以公开。开源贡献前，机构应审查项目许可证，确认机构可合法向该项目贡献代码，并审查拟提交的源代码、文档和配置文件，确保不泄露密码、加密密钥、内部系统细节或其他机密信息。

对应“开源软件生产发布”章节，针对联邦财政出资开发的定制软件，提出默认开源模式。

联邦财政出资开发的定制软件，默认以开源方式开发和发布，如因法律、安全或运营原因不宜公开，须说明理由并纳入豁免管理。机构应建立内部开发软件清单，标明各项目公开状态。发布前须审查敏感信息、遵循安全开发实践、选择适当许可证，并在公共代码库同步发布文档、贡献指南、漏洞披露政策与SBOM。发布后应持续维护、处理安全问题，停止支持时明确告知，妥善归档。对承包商开发的定制软件，应在合同中确保政府保留复用、修改及开源发布所需权利。