复旦大学系统软件与安全实验室联合中远海运科技、上海工业互联网创新中心打造云安全标杆项目入选国家级典型案例
2025年2月5日，国家工业和信息化部等十三部门办公厅公布了2024年网络安全技术应用典型案例项目名单，由中远海运科技股份有限公司、复旦大学系统软件与安全实验室、工业互联网创新中心（上海）有限公司三方联合申报的云计算安全智慧中枢项目通过部门初审和推荐、专家评审、网上公示等环节，成为全国135个网络安全技术应用示范项目之一。该项目的技术成果与创新模式获国家多部委联合认可，标志着我实验室产学研深度融合成果为网络安全领域带来突破性进展。
背景 以云平台安全护航航运数字化基座
复旦大学系统软件与安全实验室长期深耕软件供应链安全领域，聚焦开源代码漏洞治理的核心难题，以程序分析与大模型驱动的创新方法，构建智能化的漏洞挖掘、验证与修复技术体系。团队基于程序静态分析、动态追踪与AI大模型语义推理的融合能力，实现了对第三方组件漏洞的高精度检测与全链路治理，为云平台、工业互联网等场景提供安全分析底层技术支撑。中远海运集团随着业务全面上云，云平台面临的漏洞治理、威胁防御和全流程安全管控需求日益迫切。为此，中远海运科技联合复旦大学系统软件与安全实验室及工业互联网创新中心（上海），依托三方在云计算、安全攻防、程序分析与人工智能领域的技术积累，共同打造覆盖“数据-分析-服务”全链条的云安全智慧中枢，为行业提供可复制的安全治理范式。
工作
part 1 以云平台安全护航航运数字化基座
软件供应链安全是保障现代数字基础设施稳定运行的核心环节。随着软件开发的模块化和开源化，第三方组件在应用中的占比已超过90%，但同时也引入了大量潜在风险，如漏洞利用、恶意代码注入和许可证合规问题。软件供应链安全的核心目标是通过全生命周期管理，从组件引入、开发集成到部署运维，实现风险的可视化、可追溯与可治理。
本项目基于多源漏洞数据采集、智能增强与知识融合技术，构建了覆盖全球主流开发框架、开源组件及商用软件的高质量漏洞库，有效补全传统漏洞库中遗漏或错误的关键信息，在供应链漏洞、0day威胁等场景下，准确率与完整率提升50%以上。同时，平台集成6000万+第三方组件与2000+许可证规则，支持组件版本溯源、漏洞影响面分析及合规性检测。
part 2 大模型协同程序分析——深度漏洞挖掘与治理的创新引擎
传统的漏洞挖掘技术依赖大量人工规则进行模式匹配与静态扫描，难以应对复杂业务场景下的新型威胁。本项目创新性地将程序分析与大模型技术相结合，通过融合程序分析技术的符号逻辑求解能力和大模型技术的代码语义理解能力，构建了一套深度漏洞挖掘与治理的智能引擎。
在漏洞挖掘过程中，团队通过智能调度策略，适时引入大模型的语义理解与推理能力，简化了程序分析任务的复杂性和开销，不仅提升了性能，也大幅提高了在深层代码分析时的准确性，支持自动入口识别、高精度流分析、数据断流补全、危险函数定位等。在Tomcat、Elasticsearch、Chrome等流行软件或组件中发现零天漏洞近百个。
成果 学术引领产业，共筑安全生态
项目实现了对第三方组件漏洞的高精度检测。平台集成87万+多源漏洞数据，通过动态威胁情报增强、漏洞特征融合，形成40万+高质量标准化漏洞库，漏洞信息误报率低于1%，关键组件风险识别准确率达98%以上。同时，平台构建了规模超6000万+第三方组件的全球最大软件物料清单（SBOM）信息库，支持组件版本溯源、许可证合规性（集成2000+开源协议规则）及漏洞影响面分析，帮助企业将供应链安全风险评估效率提升70%，为云平台组件选型、漏洞应急响应及合规治理提供全生命周期决策支撑。
带队老师: 张磊、朱东来、张瑞彬、张梦露
博士生: 郭明达、孙福特
硕士生: 廖双、谢尚汝、戴焕彬、凌行之、邹志豪、薛依繁、朱育灏、田浪、王涛等
团队围绕开源代码漏洞治理，基于程序分析技术进行漏洞挖掘、验证与修复等，已在ACM CCS、IEEE Security&Privacy等网络安全领域顶会顶刊上发表论文10余篇，在刚刚过去的Usenix Security 2025第一轮投稿中新录用4篇论文，曾获2022年USENIX Security 杰出论文奖、2024年 FSE杰出论文奖、2023年第二届中国研究生网络安全创新大赛漏洞挖掘赛道一等奖等。