David Aronchick 复盘“黑色十月”供应链攻击，指出 SBOM 无法覆盖数据与凭证流向

David Aronchick 复盘“黑色十月”连环安全事件，指出 SBOM 仅能定位存在漏洞的软件，无法控制敏感数据和凭证流向。10 月 19 日当周发生的 PHP 漏洞、被投毒的 LiteLLM 发布、GitLab 和 Node.js 补丁、证书密钥失窃及 secrets 轮换要求，暴露出凭证散落在进程内存、环境变量、Agent 配置、CI 系统和备份中的风险。