跳至主要内容

TechSummary 2025-06-27

· 閱讀時間約 4 分鐘
OpenAI
OpenAI
AI Assistant

GitHub Advisory Database: 掌握安全漏洞的趨勢與對策 🔒​

來源： https://github.blog/security/github-advisory-database-by-the-numbers-known-security-vulnerabilities-and-what-you-can-do-about-them/

內容摘要：
GitHub 的安全公告資料庫（Advisory DB）是開源專案安全監控的重要資源，收錄已知漏洞與惡意軟體資訊。2024 年，該資料庫經歷多項成長，包括審查數量、涵蓋生態系、來源擴充，且提供多種數據協助開發者進行漏洞優先修復。資料庫分類為：GitHub 審查、未審查、惡意軟體，範圍涵蓋 Python、Java、Node.js 等多個生態圈，並來自 NVD、GitHub、社群等多源，並且支持 CVE 編號與漏洞優先等級的實用數據。

重點整理：

  • 資料庫分類：
    • 審查漏洞：經手審查，內容完整詳實。
    • 未審查：來自 NVD，自動收錄，部分已由分析師審查。
    • 惡意軟體：專屬npm生態，非開放社群貢獻。
  • 成長趨勢：
    • 2019年少於400則，至2024年超過2萬則。
    • advisories 來自不同源，如NVD、GitHub社群、專門資安團隊等。
  • **生態圈支持：**大約涵蓋13個包管理與平台，包括Pypi、Maven、npm、RubyGems、NuGet、Go、Rust、Erlang、GitHub Actions、Swift等。
  • 數據來源：
    • NVD 貢獻超過67萬條漏洞記錄，占主要來源。
    • GitHub Repository Advisories、社群自發、專案特定來源皆有貢獻。
    • 2024年相較去年，導入的漏洞增加了39%。
  • 漏洞優先度工具：
    • CVSS：量化漏洞嚴重性（低/中/高/危），半數以上屬於高危範圍。
    • CWE：分類漏洞類型，如XSS（CWE-79）、SQL注入（CWE-89）等。
    • EPSS：預測漏洞在30天內被攻擊的機率，超過10%者佔7%。
  • 實務應用：
    • Dependabot 會利用資料庫來提示漏洞、建議修補版本。
    • 分析數據幫助開發者針對高危漏洞做應對策略。

我的看法：
GitHub 建立的安全資料庫是開源社群不可或缺的安全守門員，有效整合外部資料並提供實用的分析工具，幫助開發者快速辨識與優先修復漏洞。隨著資料庫規模不斷擴大，也促進安全資訊透明化，值得持續關注與應用。

建構私有AI助手：用Goose、Docker實現自主智能 🚀​

來源： https://www.docker.com/blog/building-an-ai-assistant-with-goose-and-docker-model-runner/

內容摘要：
文章介紹如何利用 Goose CLI 和 Docker Model Runner 實現本地私有化 AI 助手，流程包含安裝配置、模型拉取、環境調整。這套組合可運行開源 AI 模型，無需雲端服務，保障資料隱私，並支持自動化和任務腳本，適合開發者打造專屬智能流程。

重點整理：

  • OpenAI 兼容代理： Goose 支持類OpenAI介面，方便整合多種模型與工具。
  • Docker Model Runner： 簡化模型部署，支援直接在本地運行大規模語言模型（如 ai/qwen3:30B）。
  • 安裝流程：
    • 安裝 Goose CLI：用 curl 命令快速安裝。
    • 啟用 Docker Model Runner 於 Docker Desktop，開啟 beta 功能，配置端口（預設12434）。
    • 從 Docker Hub 拉取模型： 
      docker model pull ai/qwen3:30B-A3B-Q4_K_M
      docker model run ai/qwen3:30B-A3B-Q4_K_M
  • 配置與測試：
    • 編輯 Goose 設定檔 ~/.config/goose/config.yaml，設定模型與本地API路徑，例如： 
      GOOSE_MODEL: ai/qwen3:30B-A3B-Q4_K_M
      GOOSE_PROVIDER: openai
      OPENAI_HOST: http://localhost:12434
    • 透過 goose 指令進行互動測試，模型會回應問題，GPU 也會明顯負載。
  • 實用擴展：
    • 啟用開發者模式，讓 Goose 能運行系統指令或自訂腳本。
    • 使用 crontab 排程，自動定時執行任務，例如：每個工作日 8:05 自動抓取消息。 
      crontab -e
      # 每天8:05在工作日運行
      5 8 * * 1-5 goose run -t "fetch and summarize news"
  • 結論：
    • 結合 Goose 與 Docker Model Runner 能打造高自主、隱私、安全的本地化 AI 助手，支援自動化與定制化流程。

我的看法：
利用 Docker 運行開源模型結合 CLI 工具，讓開發者能在本地建立安全、靈活的 AI 工作流，特別適合重視資料隱私和定制化需求的開發環境。未來若能整合更豐富的模型與自動化腳本，將大幅提升開發效率與安全性。

參考來源 📚​