软件供应链安全告急，Socket获4000万美元融资应对开源风险
由开发软件所使用的组件和流程组成的软件供应链已变得岌岌可危。根据最近的一项调查，88%的公司认为糟糕的软件供应链安全对其组织构成了“企业级风险”。
开源供应链组件尤其令人担忧，因为保持每个组件良好维护存在物流障碍。安全公司Synopsys在2023年的报告发现，89%的企业代码库中包含超过四年未更新的开源工具。Ponemon Institute于2024年发布的一份报告发现，超过一半的组织曾遭受过软件供应链攻击。Juniper Research估计，到2026年，这些攻击可能导致经济因收入损失和损害而遭受近810亿美元。
提供工具以检测开源代码中安全漏洞的初创公司Socket已筹集4000万美元，以帮助解决这一问题。
传统安全工具难以应对现代挑战
CEO Feross Aboukhadijeh 于 2020 年创立了 Socket。作为一名多产的开源维护者以及斯坦福大学的网络安全讲师，Aboukhadijeh 表示，他逐渐认为传统的安全工具不足以应对现代软件开发带来的挑战。
“庞大的依赖网络——数量多达数千个——带来了重大的安全风险，而传统工具无法有效缓解这些风险，”Aboukhadijeh 对 TechCrunch 表示。依赖项是指应用程序正常运行所依赖的软件或库代码。“即使进行严格的内部代码审查，外部依赖项仍会引入难以检测和管理的软件供应链攻击风险，”Aboukhadijeh 继续说道。
Socket解决方案：实时扫描与AI集成
Socket 的解决方案是一款扫描器，用于在开源组件中查找恶意活动，例如后门和混淆代码，并在依赖项和软件包更新或添加时向开发人员发出警报。
通过与Anthropic和OpenAI的生成式AI API集成，Socket还可以生成漏洞摘要（希望其中出现的幻觉尽可能少）。此外，该平台还可以选择检查开源代码是否获得适当许可——从而确保其合法用于重用。
“Socket 专为严重依赖开源软件的工程团队和应用安全团队设计，”Aboukhadijeh 说。“它能无缝集成到开发工作流中，在代码审查和依赖项更新期间提供实时洞察，同时不会因大量误报而让用户感到不堪重负。”
比以往任何时候都更多的软件公司正在依赖开源。在与开放源代码促进会（Open Source Initiative）和Eclipse基金会合作发布的2023年一份报告中，95%的受访者表示，他们的组织在过去一年中增加——或至少维持——了其对开源的使用。
市场竞争激烈，Socket凭借差异化突围
鉴于软件供应链安全平台市场预计到2027年将增长至高达35亿美元，Socket拥有竞争对手并不令人意外。
Oligo，这是一家专注于运行时应用安全性和可观测性的公司，于二月结束隐身模式并获得了 2800 万美元的支持。Endor 于去年十月以 2500 万美元的资金结束隐身模式，此前 Chainguard 在六月初完成了 5000 万美元的融资。 Endor 于去年十月结束隐身模式并获得 2500 万美元资金，紧随 Chainguard’s 在六月初完成的 5000 万美元融资之后。
Aboukhadijeh 认为，Socket 的独特之处在于它能够捕获其他工具遗漏的可能有害代码——特别是用于窃取敏感数据的代码。据他声称，Socket 每周能检测到超过 100 起零日软件供应链攻击。
Socket 令人印象深刻的投资方和客户名单表明，这些说法并非空穴来风。
Entrepreneur Elad Gil 和 Andreessen Horowitz 参与了 Socket 的 B 轮融资，Yahoo 联合创始人 Jerry Yang（披露：Yahoo 是 TechCrunch 的母公司）、OpenAI 董事长 Bret Taylor、Twilio 联合创始人 Jeff Lawson 以及 Shopify 联合创始人兼 CEO Tobias Lütke 也参与其中。
与此同时，Socket 的客户包括 Anthropic、Harvey、Figma、Vercel、美国四大银行之一，以及“最大且最具知名度的 AI 公司”。（最后一家公司如何解读由你决定。）
融资用途与未来规划
Aboukhadijeh将新的B轮融资描述为“预防性”的，声称Socket尚未花掉去年八月筹集的A轮资金。
“我们有望在 2024 年实现收入增长 400%，”Aboukhadijeh 告诉 TechCrunch。“Socket 目前拥有超过 100 名客户，保护着超过 7,500 家组织，守护着 30 万个代码仓库，并为全球超过 100 万名开发人员提供支持。”
这笔新资金使Socket的总融资金额达到6500万美元，Aboukhadijeh将其描述为开源历史上的关键时刻。他指出，人工智能正被用来编写越来越多的代码，这引入了安全漏洞的潜在可能性。
“现在是筹集资金的合适时机，”Aboukhadijeh 说。“新的 AI 攻击向量使得 Socket 迫切需要将安全保障带给由这些 AI 驱动工具生成的代码。Socket 的技术填补了这一关键的市场空白，额外的资金将有助于扩大其影响力。”
拥有32名员工的Socket计划到今年年底将团队规模扩大至50人，重点加强这家总部位于斯坦福的公司在工程、产品、设计和销售方面的力量。