我第一次看到“自动防住依赖攻击”，先想到的是自己的小项目

上周二晚上，我还在杭州的出租屋里改客户网站，后台突然弹出依赖库有风险。我第一反应是升级，可组件太多，真正该动哪一个，我也卡过。新闻里说 Glasswing 能自动处理这类供应链风险，我也很心动：听起来，终于有人替维护者兜底了。

它解决的到底是什么，谁已经在用

Glasswing 是 Anthropic 面向软件供应链安全的项目，重点不是替人写代码，而是识别第三方依赖可能带来的攻击，再协助维护者采取行动。公开更新提到，项目运行七个月后，发现的成果与预期相比偏弱，说明“自动化发现风险”和“真正减少事故”之间仍有距离。VulnCheck 等安全团队持续跟踪相关结果；这提醒我们，安全工具还得放进真实维护流程里，而不能只看演示。

今天复刻的成本，以及第一步

如果你想直接获得这项能力，现阶段更现实的是申请测试资格，而不是照着新闻自己搭一套。费用按公开可用计划计算：预计 0 元；准备时间约 2 小时；技术门槛是能看懂代码仓库、依赖更新和测试流程。第一步：打开 Glasswing 官方项目页面，点申请或加入候补名单，同时先把自己的依赖清单导出来。不要为追热点改生产环境，这步我搞错过，结果只顾着升级，反而让同事当天多花了三小时回归测试。

如果你处在不同阶段，我会这样选

如果你刚起步、主要做网站或内容服务，我会先保留自动更新，并留一个人工复查；现在不试也没事。如果已经有 1—2 个客户，我会整理依赖清单、备份和回滚步骤，再评估是否申请测试。若你正在扩规模，我会把供应链安全纳入交付检查表，并要求供应商说明发现风险后的处置记录。这工具不是所有人都需要，尤其你完全不维护代码时，先找托管服务商问清楚更省时间。