事件经过
在2026年11月9日于北美举行的开源安全会议（Open Source SecurityCon North America）上（通过获取的新闻稿中的json-ld datePublished=2026-11-09确认），OpenSSF宣布扩展AI安全工作：（1）加入MOSAIC（多组织安全AI协调），以汇集知识并制定一致的AI安全标准和指南，目标是标准化参与倡议的映射，与NIST SP 800-53控制SC-42及其他框架对齐；（2）发布新指南“使用AI查找和修复软件漏洞：开发者指南”，由其最佳实践和AI/ML工作组编写，涵盖准备/沙盒AI、验证和修复问题，并强调AI生成的补丁绝不能在未经自动化测试和人工审查的情况下被信任（计划配套LFD126课程）；（3）推出安全AI助理（SAIA）认证（2026年12月），涵盖从训练数据到生产管道的AI/ML生命周期；（4）支持“2026年AI对软件安全和网络安全影响状况”报告，该报告发现58%的团队发布代码的速度超过安全审查的跟进能力，60%表示AI编码助手增加了代码库中的外部包。
影响分析
OpenSSF是开源软件安全领域公认的跨行业机构（Linux基金会）。其新的AI安全指南、MOSAIC合作和SAIA认证为软件团队提供了具体的、与工具无关的实践，以保护AI辅助开发和AI/ML供应链的安全，并旨在与NIST SP 800-53 SC-42对齐。随着AI编码助手加速SDLC并缩短漏洞发现到攻击的窗口期，这些实践指南直接相关。
建议行动
软件安全和DevSecOps团队应采用“使用AI查找和修复软件漏洞”指南以及SAIA认证以提升AI/ML生命周期技能；跟踪OpenSSF/MOSAIC的输出，因其与NIST SP 800-53 SC-42对齐。