在數(shù)字時代的今天，軟件已經(jīng)成為企業(yè)運營的核心資產(chǎn)。無論是從企業(yè)的管理還是生產(chǎn)運營,軟件產(chǎn)品無處不在。不過，隨著開源軟件使用量的逐步增加，企業(yè)在軟件開發(fā)過程中，還遇到了大量的安全問題。為此，JFrog最近發(fā)布了一些新功能，旨在為軟件發(fā)布的質(zhì)量、安全性、MLOps 和完整性設(shè)定標準。

近期，JFrog大中華區(qū)總經(jīng)理董任遠在接受記者采訪時表示，傳統(tǒng)軟件開發(fā)要經(jīng)歷開發(fā)、測試、部署、運維等等流程，在任何一個環(huán)節(jié)當中都有可能遇到安全問題。為此，從創(chuàng)建到生產(chǎn)，JFrog 平臺在軟件開發(fā)生命周期的每個階段都注入二進制級別的安全性，以確保應用程序的可追溯性、可靠性、合規(guī)性和安全性，確保開發(fā)人員第一時間檢查軟件漏洞，徹底排除不安全因素。

以端到端平臺加速安全軟件構(gòu)建與發(fā)布

安全問題已經(jīng)數(shù)字時代企業(yè)面臨的巨大挑戰(zhàn)。

在JFrog中國技術(shù)總監(jiān)王青看來，企業(yè)開發(fā)者們正在面對諸如NPM CVE漏洞、 NPM惡意軟件包攻擊等全新挑戰(zhàn)。數(shù)據(jù)顯示，針對NPM惡意包的報告基本在2023年上半年達到超過6000個攻擊。

王青表示，開發(fā)者在過往倉庫里泄露的一些密鑰信息成為黑客盜用、登錄或者植入遠程代碼侵入線上系統(tǒng)的主要手段。JFrog對互聯(lián)網(wǎng)上將近400萬個包進行掃描，發(fā)現(xiàn)超過25萬個TOKENS被檢測到，這就意味著在互聯(lián)網(wǎng)NPM等倉庫存在大量的TOKEN泄露。

除了密鑰泄露，通過機器學習模型進行投毒的新型攻擊方式也成為企業(yè)面臨的重要挑戰(zhàn)。例如，在大模型社區(qū)網(wǎng)站Hugging Face上存儲了大量由各行各業(yè)、各個公司貢獻出來的開源模型，任何人都可以注冊賬號在網(wǎng)上上傳模型，任何人也可以下載別人編輯過的模型文件，這就給黑客提供了利用模型下載進行投毒的必然性。

在王青看來，之所以出現(xiàn)這樣的安全問題，主要是由于很多企業(yè)缺乏統(tǒng)一管理制品的平臺和統(tǒng)一進行掃描的能力。為此，JFrog發(fā)布了新的產(chǎn)品和新的能力，為企業(yè)的研發(fā)團隊保駕護航。

王青表示，JFrog Curation新產(chǎn)品一方面通過集中可見性和控制對第三方（OSS）軟件包下載，另一方面通過提供主動預防和阻止惡意和不需要的軟件包降低開發(fā)風險。此外，JFrog Curation還提供了自動管理的第三方可信軟件包，并通過提升DevSecOps運營體驗并實現(xiàn)成本節(jié)約，通過在SDLC中實現(xiàn)無縫集成并減少后期修復工作。

據(jù)介紹，JFrog的全新 ML 模型管理功能可快速掃描和檢測惡意機器學習模型，在需要之時阻止其使用，并確保許可證符合公司政策，從而更安全地使用 AI。JFrog ML 模型管理功能的測試版現(xiàn)已面向 JFrog Cloud 客戶推出。而靜態(tài)應用程序安全測試（SAST）與多種開發(fā)環(huán)境無縫集成，幫助客戶快速準確地掃描源代碼中的零日安全漏洞。JFrog SAST 還可以通過上下文分析來減少誤報，幫助確定問題的優(yōu)先級并采取糾正措施。

以客戶為中心的銷售策略

我們知道，JFrog在全球一直采用直銷的銷售策略，即直接面對用戶，跟客戶做生意。

隨著業(yè)務的快速發(fā)展，客戶的需求變得更加多樣，直銷策略顯然已經(jīng)無法滿足用戶的需求。于是，在今年召開的JFrog渠道大會上，JFrog頒布了新的渠道銷售政策，希望通過聯(lián)合更多的渠道合作伙伴，更好的服務客戶。

在本次媒體溝通會上，董任遠就新的渠道政策與媒體進行也溝通。他表示，傳統(tǒng)的銷售政策有分級、金牌、銀牌、銅牌，每個級別要投入不同的資源，并根據(jù)投入資源來進行分級。JFrog制定的政策和傳統(tǒng)分銷不太一樣，我們希望和所有合作伙伴協(xié)作共贏。因此，對JFrog的所有合作伙伴，沒有采取任何區(qū)分，只要愿意投入、愿意合作，JFrog都會歡迎。

董任遠同時強調(diào)，我們從來不擔心技術(shù)資源的問題，例如合作伙伴的POC、測試等方面都由JFrog提供。與其它企業(yè)不同，我們希望在培訓客戶時也把合作伙伴培養(yǎng)起來，將來能夠自己獨立的完成跟客戶的交流以及測試。

“未來，我們也對代理商合作伙伴進行了很好的規(guī)劃，因為很多的客戶使用我們的DevOps平臺，在這個平臺上有很多需要進行二次開發(fā)的工作，或是需要很多的咨詢服務。我們希望通過對代理商的培訓，提高他們的能力，將來能夠形成一些增值工作。” 董任遠如是說。

秉持“In China, For China” 加大中國市場投入

雖然進入中國的時間不長，但JFrog始終認為中國是一個發(fā)展?jié)摿薮蟮氖袌觯⒉粩嗉哟笸斗拧?/span>

董任遠表示，在與中國客戶合作過程中，我們發(fā)現(xiàn)中國市場非常特殊。為此，JFrog成立了本地技術(shù)團隊，與中國芯片、操作系統(tǒng)和各種各樣軟件進行連接、打通，以此來更好的服務中國客戶。

在中國，JFrog在2022年初就開始了一項調(diào)整，由原來單一渠道合作伙伴變成了多地域、多伙伴的模式。據(jù)董任遠介紹，目前北京、上海、廣州、深圳、香港、臺灣，JFrog都有本地合作伙伴，并由原來一家合作伙伴變成了多家。

“我們把中國的業(yè)務看成一個平臺，即JFrog平臺，其中有七個核心產(chǎn)品。最關(guān)心的有兩個核心產(chǎn)品，一是制品庫，二是XRAY。” 董任遠表示，今年JFrog在中國又新加了一些產(chǎn)品，豐富了產(chǎn)品線。同時，我們在中國將近400-500家客戶和超過30家合作伙伴。他強調(diào)，中國未來的發(fā)展?jié)摿薮螅虼宋覀儗ｉT針對中國客戶進行了產(chǎn)品和渠道策略的調(diào)整，以此來滿足中國客戶的需求，幫助他們更好地管理、運維核心資產(chǎn)。

采訪最后，董任遠表示，JFrog秉持著“In China, For China”戰(zhàn)略，持續(xù)加大研發(fā)，加大技術(shù)團隊投放，希望在中國能夠幫助客戶建設(shè)一種具有中國特色的軟件制品管理模式。