Securing the enterprise software supply chain in the AI era

在欧洲、中东和非洲（EMEA）地区，企业IT正在经历根本性转变。人工智能（AI）不再局限于隔离的沙盒或试点项目。自主AI代理、嵌入式软件即服务（SaaS）功能和自动化工作流程正在业务关键型环境中全面投入生产。

然而，随着AI加速数字企业的速度和复杂性，一个关键的战略矛盾正逐渐显现。为了更深入了解IT领导者如何管理这一转型，Red Hat对EMEA地区14个国家的1400位首席信息官（CIO）进行了调研。调查结果揭示了高层治理信心与有效管理风险所需的基础日常操作可见性之间存在明显脱节。

治理悖论：高度信心，部分可见性

当被问及高层治理时，EMEA地区的CIO表现出显著乐观。86.7%的受访CIO表示，他们对其组织在安全、合规且符合企业业务规则的前提下治理部署的AI代理充满信心。

然而，当我们更仔细地审视使治理成为可能的操作机制时，这种信心开始出现裂痕：

• 数据可追溯性：虽然84.8%的人认为他们知道AI相关数据的处理、存储和共享位置，但只有39.6%的人对整体数据可见性表示完全有信心。
• 监管风险：近一半（45.2%）的人承认，在AI悄然嵌入获批准的云平台和企业软件时，存在轻微的数据流追踪盲点。

在GDPR和欧盟AI法案等严格合规框架的时代，即使数据血缘关系中存在微小的可见性缺口，也会使组织面临严重的监管、财务和声誉风险。如果IT团队无法在混合云环境中实时追踪数据流动，高层政策几乎毫无意义。

软件供应链：在黑暗中打补丁的危险

这种控制缺口直接延伸到网络安全和软件基础设施领域。调查显示，现代IT组织已建立了令人印象深刻的快速修复流程：76%的受访者表示，他们通常在漏洞补丁发布后24小时内部署关键安全修复。

然而，修复速度只是问题的一半。你无法修补你不知道存在的漏洞：

• 仅有32.9%的EMEA CIO能够全面、持续更新地掌握其开源软件供应链的完整视图，包括直接和间接（嵌套）依赖关系。
• 43.0%的人能够看到主要组件，但缺乏对第三方应用程序内部隐藏的底层开源库的清晰洞察。

快速补丁能力如果企业缺乏软件物料清单（SBOM）可见性，会产生虚假的安全感。当零日漏洞影响到深度嵌套的开源依赖项时，即使补丁团队运作速度再快，供应链可见性有限的组织仍会暴露在外。

信任不是一次性事件

企业在评估第三方AI技术提供商时也出现了类似的模式。虽然大多数组织在引入AI供应商前会进行彻底的风险评估，但部署后的持续验证却急剧下降：

• 仅34.4%建立了正式的、可衡量的标准，以持续监控AI供应商的风险。
• 几乎20%（19.7%）的组织在AI供应商集成到实际运营后，完全不进行持续风险监控。

将AI供应商风险视为静态的一次性采购任务本质上是危险的。模型会漂移，数据使用政策会变化，软件依赖项每天都在演变；信任必须在整个应用生命周期中持续审计和验证。

通过开放、可验证的基础架构弥合控制差距

我们2026年EMEA研究的关键洞察很明确：企业领导者面临的挑战不是治理雄心的缺乏，而是运营可见性的缺失。

为弥合这一控制差距，治理不能停留在被动的行政政策层面。它必须成为建立在四个运营支柱上的主动、自动化学科：

1. 完整生命周期可见性：绘制数据流，分类敏感资产，并在所有公共云、本地和边缘环境中保持实时可观测性。
2. 软件供应链透明度：标准化使用自动化依赖关系映射和SBOM，以跟踪直接和嵌套的开源组件。
3. 持续验证：从静态的一次性供应商入驻审查，转向对AI供应商风险和模型行为的实时持续监控。
4. 开放混合基础架构：采用提供集中管理和一致防护措施的开源架构，在不牺牲控制权的情况下，为企业提供完全的选择自由。

随着AI在EMEA地区的普及，真正的韧性将属于那些将高层次雄心与深度、可验证的运营控制相结合的组织。

###### 1 方法论：研究由Censuswide在2026年8月24日至9月1日期间对英国、法国、意大利、德国、西班牙、阿联酋、瑞典、土耳其、瑞士、波兰、南非、荷兰、比利时、沙特阿拉伯的1400名CIO（25+）进行。Censuswide是市场研究协会和英国民意调查委员会的成员，并签署了全球数据质量承诺。