代码越写越快，账却对不上了

2026年10月8日，多伦多公司 Insignary 宣布 Clarity AIR 正式可用，干的事说穿了很朴素：用片段级扫描，把开发者没申报的开源代码和 AI 写的代码从代码库里翻出来。这件事的分量在于，它承认了一个行业一直不愿明说的现实——企业的软件物料清单（SBOM），和代码库里的真实世界，长期对不上账。代码越写越快，账却越来越乱，有人终于开始做审计师干的活了。

📦 一款新产品，戳破了一个行业默契

先看产品本身。Clarity AIR 的核心能力是 snippet-level scanning，也就是片段级扫描：不管这段代码是从哪个开源项目复制来的、还是大模型吐出来的，只要它真实存在于代码库中，就会被识别出来。官方的表述很直接——告诉安全与合规负责人，哪些开源代码、哪些 AI 生成代码，从来没有进过 manifest（清单）。

这句话翻译一下就是：你们报上来的账，是假的。不是故意造假，而是机制性的失真。传统 SBOM 的生成路径，基本依赖包管理器的依赖文件加人工申报，它记录的是"开发者承认使用的部分"。而真实代码库里还躺着大量复制粘贴来的开源片段、AI 生成的代码块——这些东西不经过包管理器，自然也不进清单。

多位安全从业者私下聊起来，态度出奇一致：没人不知道这个盲区存在，只是过去没有顺手的工具，大家默契地绕着走。合规审计时交一份依赖文件生成的 SBOM，审计方也睁一只眼闭一只眼，因为对方也好不到哪去。

Insignary 把这个默契挑破了。产业逻辑很清晰：当监管侧对软件供应链透明度的要求越来越实——比如关键基础设施采购开始要求提交 SBOM——清单失真就从技术洁癖变成了法律风险。对账工具的存在，逼着所有人把真实家底摊开。

🕳️ 清单外的代码，为什么是一颗雷

金句：真正咬人的漏洞，往往藏在你不知道自己有的那部分代码里。

回看这几年最痛的几次供应链事件，共同点惊人地一致：出事的代码，很多企业根本不知道自己用了。

2021年底 Log4j 的 Log4Shell 漏洞爆发时，无数企业的第一反应不是修，而是找——找自己的系统里到底哪里用了这个组件。依赖文件里有的好办，靠复制粘贴进来的代码片段，排查基本靠人肉。2024年的 xz 后门事件则展示了另一个方向：恶意代码主动混入上游供应链，下游如果连自己引入了什么都不清楚，防御无从谈起。

机理上说，未申报代码的风险来自三重断裂：

一次漏洞预警出来，有清单的团队能在一小时内定位受影响服务，没有的只能全库搜索加祈祷。这不是效率差距，是应急响应能力的代差。片段级扫描的价值，就是把这三重断裂重新接上——让每一行代码都能回答"你从哪来"这个问题。

🤖 AI 代码：第二轮影子依赖

如果说未申报的开源片段是第一轮影子依赖，AI 生成代码就是第二轮，而且规模更大、更隐蔽。

开发者对着 AI 助手敲一行提示词，吐出来的代码直接进仓库——这个动作里没有任何包管理器参与，没有版本号，没有许可证信息。更微妙的是，大模型可能在生成内容中复现训练数据里的开源代码片段，连原有的开源许可证声明都一并丢失。这段代码是原创还是演绎？该不该遵循 GPL？没人说得清，但法律责任是实实在在的。

Clarity AIR 把 AI 生成代码纳入检测范围，等于承认了一个新事实：AI 代码审计正在成为独立科目。有企业安全负责人私下说，现在内部评审最大的痛点已经不是"有没有用开源"，而是"这段代码到底是人写的还是 AI 写的"——因为两者的风险模型完全不同。人的代码错在能力边界，AI 的代码错在来源不可知。

产业逻辑上，这一步踩在了合规需求升级的节点上。AI 生成的代码大量进入关键软件，监管迟早要回答"谁为这段代码负责"的问题。到那时，能区分人类代码与 AI 代码、能追溯 AI 代码中隐含开源片段的工具，就不再 是可选项。Insignary 的产品命名里那个 AIR，本身就是向市场喊话：AI 时代的代码对账，从现在开始。

📊 从清单工具到对账工具，一门新生意

金句：SBOM 解决的是"报账"，片段扫描解决的是"查账"，后者才是信任的起点。

片段级扫描并不是凭空冒出的技术路线，此前的 SCA（软件成分分析）工具里已有类似能力，Insignary 过去也以二进制成分扫描见长——不用源码，直接扫编译产物里的开源成分。这次 Clarity AIR 的差异化在于两点：一是把检测对象扩展到 AI 生成代码，二是把产品定位从"生成清单"明确改成"对账清单"。

这个定位转换值得琢磨。过去几年，SBOM 工具商的叙事是帮企业产出合规文档，卖的是"合规通过"。但当监管从"有没有清单"进化到"清单是否属实"，纯靠申报的清单就不够用了。对账工具的逻辑是：清单必须和代码库实测结果交叉验证，差出来的部分就是风险敞口。

这对整个 SCA 与 SBOM 市场是一次重新洗牌的压力测试。只做申报式清单的厂商，可能发现自己交的答卷正是客户被审计时最薄弱的环节；而能把片段级检测、AI 代码识别、许可证归属分析串起来的厂商，才有资格谈"供应链透明"。据接近渠道的人士观察，已有采购方在招标文件里把"清单实测一致性"写进评分项——需求方的语言变了，供给方的产品就得跟着变。

当然，工具不是万能药。片段级扫描有误报率，AI 代码的检测边界也还在摸索，对账结果终究要人来看、人来裁。但方向是确定的：软件供应链的安全，正在从"自证清白"走向"实证清白"。

结语：代码资产进入了审计时代

Clarity AIR 的发布，本质上是为一个老问题提供了新工具：你对自己代码库的了解，可能远比你以为的少。从 Log4Shell 到 xz，每一次危机都在提醒同一件事——看不见的代码才是最大的风险敞口。当 AI 把代码生产速度再推高一个量级，人工申报式的清单必然加速失效，片段级扫描这类对账能力会从加分项变成基础设施。下一阶段的竞争，不属于谁的清单做得漂亮，而属于谁敢把自己的代码库和清单放在一起，当面查账。