博通高管道出开源漏洞风险：AI攻击瞄准Spring与RabbitMQ
博通韩国总监李耀汉在首尔AIS 2026大会上指出，企业代码库逾75%由开源框架与库构成，AI黑客正盯上这些被忽视的组件。
据dailysecu.com报道，博通韩国总监李耀汉于11月3日在首尔举行的2026人工智能安全大会（AIS 2026）上发表演讲，题目为「被忽视的漏洞，AI黑客的完美目标：Spring、开源软件与基础设施」。本次大会由Daily Security主办，韩国互联网振兴院（KISA）与韩国信息安全产业协会（KISIA）赞助，约700名安全从业人员及相关人士出席。
李耀汉表示，典型企业代码库中超过75%由开源框架和库构成。他指出，Spring在2013年至2025年间共发布157个通用漏洞披露（CVE），而2026年3月至8月间就发布了211个；RabbitMQ截至2025年累计仅8个漏洞，但2026年5月至10月间发布了112个。
他还引用数据称，Spring Boot的下载量中超过60%来自已经结束支持的版本，并援引Off-by-1 Labs（1Password）的研究：两个前沿模型针对6个近期重大漏洞进行了6080次补丁尝试，其中17%被评定为可持续的修复方案。
应对建议
李耀汉建议通过软件物料清单（SBOM）和软件成分分析（SCA）识别组件，更新Spring、Java、Tomcat、NGINX、PostgreSQL等关键框架与运行时，并采用微分段与虚拟补丁。他同时介绍了博通的TrueSource产品组合与VMware vDefend，作为支撑上述应对措施的工具。
快速问答
AIS 2026是什么时候、在哪里举行的？
AIS 2026于2026年11月3日在首尔举行，由Daily Security主办，韩国互联网振兴院（KISA）与韩国信息安全产业协会（KISIA）赞助，约700名安全从业人员及相关人士出席。
李耀汉在演讲中提到了哪些应对措施？
他建议通过软件物料清单（SBOM）和软件成分分析（SCA）识别组件，更新Spring、Java、Tomcat、NGINX、PostgreSQL等关键框架与运行时，并使用微分段与虚拟补丁，同时介绍了博通TrueSource与VMware vDefend。