面对 AI 导致 Spring 漏洞报告激增 1700% 的严峻挑战，Broadcom 发布了 Spring 23 年来最大规模安全更新。通过提供企业级零日补丁及验证依赖项，Broadcom 试图在 Java 成为企业 AI 运行基石的背景下，将排他性管理权转化为安全优势。

译自： Spring is 23 years old. AI just made it a security emergency. [1]

作者：Darryl K. Taft

AI 正在重写 软件安全 [2] 的规则，而作为企业计算基石超过 30 年的  Java 生态系统 [3] 正实时感受到这一冲击。

Broadcom [4]  是开源  Spring 框架 [5] 的管理方，周一宣布了该框架 23 年历史上最大规模的开源安全更新。

该公司还将经过  SLSA [6]  3 级验证、在无尘室（clean-room）构建的  Java [7]  依赖项引入整个 Spring 生态系统，提供给企业级  Tanzu [8]  Spring 客户。这些客户还将在  CVE [9]  补丁到达开源社区之前获得“零日”访问权限。动机显而易见：Spring 社区向 Broadcom 报告的每月安全公告在 2026 年 3 月至 4 月期间激增了超过 1700%。

这一尖锐的增长在一定程度上是由基础模型驱动的，它们能以人类安全团队无法比拟的规模和速度分析代码库。开发的瓶颈已从发现漏洞转向了如何足够快地修复漏洞。

Constellation Research 的分析师  Holger Mueller [10]  告诉  The New Stack ，AI 正在改变游戏规则。

“看看安全企业级 Spring 框架漏洞数量的跳跃。AI 正在全栈范围内改变游戏规则，在识别现有代码中的漏洞方面表现惊人，”Mueller 表示。“看到 Broadcom 作为流行的 Spring 框架的管理者，采取了正确的行动，迅速修复发现的漏洞并让 Spring 为 AI 时代做好准备，这令人欣慰。但我们别被糊弄了，这不是短跑，而是一场马拉松。不过就目前而言，Broadcom 开了个好头。”

Java 的 AI 时刻推高了赌注

风险之所以巨大，是因为 Spring 无处不在。该框架在超过半数的财富 500 强公司中运行。随着 Java 成为在生产环境中运行 AI 的默认语言，其影响力只会越来越大。根据  Azul 2026 年 Java 现状调查 [11] （样本为 2000 多名 Java 专业人士），目前有 62% 的企业使用 Java 编写 AI 功能，而一年前这一比例为 50%。Python 可能占据了模型构建和原型设计层，但 Java 才是这些模型真正运行业务的地方。

CVE 负担已让团队不堪重负

Java 专业人士深知，在当前环境下保持竞争力，安全已成为基本门槛。当  Azul [12]  询问受访者在 AI 驱动的开发格局中 Java 需要哪些能力时，内置安全特性以 34% 的比例排名第二，仅次于长期支持。CVE 负担已经严重打击了团队：56% 的人现在每天或每周都要处理 Java 相关的 CVE，高于 2025 年的 41%。30% 的人表示，他们的团队在一半以上的时间里都在处理误报——即扫描器标记了在生产环境中从未真正执行的代码路径中的漏洞。

两条路径：开源与企业

Broadcom 的应对方案分为两条路径。

对于开源 Spring 社区，该公司扩大了基于前沿模型的扫描和验证工作流的使用，以识别和修复整个依赖生态系统中的漏洞——Broadcom 表示，这是 Spring 历史上最大的一笔此类投资。

对于付费 Tanzu Spring 客户，新方案通过  Spring 企业仓库 [13] 提供领先于开源版本的“零日”纯 CVE 补丁。将安全修复与其他任何更改隔离开来是关键：它让企业团队能够更快地进行修复，而无需承担在获取补丁时引入意外更改的风险。

100,000 个验证构建

供应链部分至关重要。Broadcom 正在将其无尘室构建架构——即支撑  Bitnami [14]  的相同方法——扩展到由  Spring Boot [15]  物料清单（BOM）管理的完整传递依赖图中。 Spring Boot 4.0 [16]  仅其自身就管理着 1768 个依赖项。在整个支持的产品组合中，该投资涵盖了超过 100,000 个经过验证的依赖项构建，涵盖了当前和已停止维护的 Spring 版本。

“Spring 是全球应用最广泛的应用开发框架之一，作为其管理者，我们对其安全性负有深远的责任，”Broadcom Tanzu 部门副总裁兼总经理  Purnima Padmanabhan [17]  在一份声明中表示。“因为我们维护 Spring 并且是唯一的提交者，我们可以为所有依赖它的人从源头上更好地保护它。”

“唯一提交者”的问题

这种“唯一提交者”的定位值得深思。Spring 是一个开源项目，而 Broadcom 对其的严密控制——通过 收购 VMware [18]  继承而来——一直是开发者社区的一个摩擦点。该公司将排他性的管理权呈现为一种安全优势。更广泛的 Spring 社区是否也这样看，则是另一个问题。

一场马拉松，而非短跑

毋庸置疑的是 Broadcom 所应对的问题规模。AI 让发现那些在生产环境中安静运行多年的代码漏洞变得异常容易。现代 Spring 应用的依赖图非常深。随着 Java 成为企业级 AI 的运行层，供应链遭受破坏的代价也随之增加。Broadcom 押注企业客户愿意为“零日”CVE 访问和经过验证的依赖链所带来的速度和确定性付费。

Mueller 的马拉松比喻可能是正确的。这不是一个发布周期就能解决的问题。

引用链接

[1]  Spring is 23 years old. AI just made it a security emergency.: https://thenewstack.io/broadcom-spring-java-cve-security-ai/
[2] 软件安全: https://thenewstack.io/software-security-imperative-forging-a-unified-standard-of-care/
[3] Java 生态系统: https://thenewstack.io/in-the-ai-age-java-is-more-relevant-than-ever/
[4] Broadcom: https://www.broadcom.com/
[5] Spring 框架: https://thenewstack.io/spring-creator-java-type-system-agentic-ai-rod-johnson/
[6] SLSA: https://thenewstack.io/openssf-boosts-software-supply-chain-security-with-slsa-1-0/
[7] Java: https://thenewstack.io/java-at-30-the-genius-behind-the-code-that-changed-tech/
[8] Tanzu: https://thenewstack.io/tanzu-platform-ai-ready/
[9] CVE: https://thenewstack.io/how-linux-kernel-deals-with-tracking-cve-security-issues/
[10] Holger Mueller: https://www.linkedin.com/in/holgermueller/
[11] Azul 2026 年 Java 现状调查: https://thenewstack.io/2026-java-ai-apps/
[12] Azul: https://www.azul.com/
[13] Spring 企业仓库: https://techdocs.broadcom.com/us/en/vmware-tanzu/spring/tanzu-spring/commercial/spring-tanzu/spring-enterprise-subscription.html
[14] Bitnami: https://thenewstack.io/broadcom-ends-free-bitnami-images-forcing-users-to-find-alternatives/
[15] Spring Boot: https://spring.io/projects/spring-boot
[16] Spring Boot 4.0: https://spring.io/blog/2025/11/20/spring-boot-4-0-0-available-now
[17] Purnima Padmanabhan: https://www.linkedin.com/in/ppadmanabhan/
[18] 收购 VMware: https://thenewstack.io/vmware-to-be-acquired-by-broadcom-in-a-61-billion-deal/