导语：
截至 2026 年 3 月 23 日，安全团队最值得重视的变化，是安全控制点正在被平台化。3 月 17 日 Dependabot 开始检测 npm 恶意版本，3 月 18 日代理执行可以接入 validation tools，而更早的 3 月 3 日 GitHub 已经提供了 GitHub Code Quality enterprise policy。
这意味着企业不该再把安全看成“每个仓库各自配置一点规则”的分散动作，而是应该把依赖安全、代码质量、安全验证写进统一政策，再由平台下发和执行。只有这样，安全团队才能真正从“手工巡检”升级为“系统治理”。
1. 为什么企业安全要从工具走向政策
- 因为仓库数量一旦变多，手工配置会迅速失控。
- 因为依赖、代码、代理执行三条链已经开始互相耦合。
- 因为高风险团队和低风险团队需要不同约束，但口径仍要统一。
2. 当前更合理的三层政策结构
- 依赖政策
统一处理恶意版本、漏洞版本和升级责任。 - 质量政策
统一处理 lint、测试、Code Quality 基线。 - 执行政策
统一规定 AI 代理必须跑哪些验证工具。
3. 推荐执行流程
- 先定义组织级安全政策模板。
- 让 Dependabot 和 validation tools 对齐同一优先级规则。
- 对关键仓库启用更严格策略，对普通仓库保留渐进约束。
- 对策略变更建立版本记录和 owner。
- 定期审查哪些团队反复触发政策例外。
4. 指标建议
- 组织级安全政策覆盖率。
- 恶意依赖命中和修复时长。
- AI 代理验证覆盖率。
- 例外政策数量。
- 重复违规仓库数。
5. 结语
到 2026 年 3 月，企业安全最怕的不是规则不够多，而是规则无法统一落地。把安全要求编成平台政策，才是从“安全工具堆叠”走向“安全系统治理”的关键一步。
参考资料
- GitHub Changelog: Dependabot now detects malware in npm dependencies（2026-03-17）
https://github.blog/changelog/2026-03-17-dependabot-now-detects-malware-in-npm-dependencies/ - GitHub Changelog: Configure Copilot coding agent’s validation tools（2026-03-18）
https://github.blog/changelog/2026-03-18-configure-copilot-coding-agents-validation-tools/ - GitHub Changelog: GitHub Code Quality enterprise policy（2026-03-03）
https://github.blog/changelog/2026-03-03-github-code-quality-enterprise-policy/
