SLSA 的秘密武器:以智能体 AI 的速度践行 DevGovOps

JFrog 提出 DevGovOps（开发治理运维）：把持续治理、可审计性与密码学溯源内建为交付流水线的自然产出，以弥合 DORA、CRA、NIST SSDF 等合规要求与 AI 速度开发之间的差距。

swampUP 2025 回顾：AI 正在带来软件交付「量子跃迁」（微软与谷歌 30% 代码由 AI 生成），JFrog 以统一平台与六项新发布应对，并强调 DevGovOps 将成关键实践。

随着 AI 服务快速进入生产应用，组织必须能够保护进入软件供应链的 AI/ML 组件。好消息是，即使没有专门扫描模型本身的工具，你仍然可以沿用同样的 DevSecOps 最佳实践来保障……

Trail of Bits 介绍 SLSA 供应链安全框架的三个 Build 等级与签名 provenance 机制，以及 PEP 740 如何为 PyPI 引入 SLSA 证明，帮助开发者与用户验证开源软件构建来源。

Wiz 的 MCP agent 集成现已允许合作方的 AI agent 按需从客户租户拉取实时 Wiz 上下文——包括 Issue、发现结果和攻击路径；面向 WIN 合作伙伴的集成端点已正式 GA。

DGrid 借助链上身份、x402 支付和 Proof of Quality 评分，在 200 多个 AI 模型之间路由请求。截至 2026 年 7 月，已有 96 个模型具备多条 provider 路由，可实现故障转移。