杭州孝道科技有限公司

公司创始团队为技术出身的“铁 三角”——CEO范丙华（曾担任网络安全领域上市公司资深技术专家）、CTO徐峰（早期软件安全平台研发）、以及具备软件研发专 业经验的CMO应勇。公司目前规模约百人，技术研发人员占比约60%，国内著名（985/211）院校背景技术人才占比30%。 公司取名 “孝道科技”，“孝道”源于《论语》中的孝道篇“小孝治家、中孝治企、大孝治国”，蕴含着公司创始人的性格、风格和价值观。同时以【安全玻璃盒】作为品牌名，寓意信息化、数字化的网络世界其实非常脆弱，犹如玻璃，安全是数字化发展的基石和底座，数字化必须有坚实的安全护体，才能护航数字盛世的安全和稳定。 公司始终以“不是需要更多的安全软件，而是需要更安全的软件”为安全理念，“让软件供应链安全护航数字智能”为初心和愿景。我们希望做数字盛世背后的护航者，赋安道路、道阻且长，坚持安全态度和安全信念，助力国家数字化建设，共同构建安全的数字命运共同体，填补国内软件供应链安全智能检测防护领域技术空白。 公司专注自主研发软件供应链安全产品和解决方案，为各行业用户提供软件研发过程的需求、设计、编码、测试、部署、运维等全生命周期的安全防护。为用户提供基于AI驱动的软件供应链安全一体化平台（可信安全软件工厂）、可信组件中心仓、软件内生安全检测与防护、软件供应链安全评估检测工具箱以及软件供应链安全威胁情报与态势感知等解决方案。 公司始终牢记 使命、不忘初心，以守正创新、全力以赴拥抱和发展数字经济的同时，以预知防范思维来重塑当下的认知，用长远眼光来审视数字化的发展，用创新安全技术构建基于信创的软件供应链安全体系，为助力数字中国安全可持续发展保驾护航。 如需进一步了解我司安全软件产品及相关服务，欢迎拨打孝道科技咨询热线 ：133-7683-9086；企业官网www.tcsec.com.cn

安全玻璃盒【杭州孝道科技】是一家专注于为用户提供软件供应链安全产品和解决方案的国家高新技术企业、专精特新企业。通过基于Al大模型、AI安全检测智能体以及自主研发全链路智能动态污点分析、函数级智能基因检测与自动化验证等核心技术，为用户提供基于AI驱动的软件供应链安全一体化平台（可信安全软件工厂）、可信组件中心仓、软件内生安全检测与防护、软件供应链安全评估检测工具箱以及软件供应链安全威胁情报与态势感知等产品与解决方案。 公司核心产品包含： 1. 交互式应用安全检测系统IAST：产品基于自研的AI全链路智能动态污点分析技术，采用运行时“静默监 听”与内生性模式，对数字应用代码、开源组件及API进行持续安全检测。在不影响业务、不产生脏数据的前提下，精 准发现漏洞、识别开源风险、梳理API资产，并实现可利用漏洞的AI自动化验证。可无缝融入DevOps流程，推动安全左移，保障应用上线即安全。 2. 数字应用免疫系统ASTP：产品结合交互式应用安全检测、开源软件供应链安全分析与运行时应用免疫防护RASP防御三大能力。基于AI全链路感知与智能修复技术，在业务运行中完成内生性检测与供应链风险识别。发现漏洞或攻 击时瞬时激 活自主免疫响应，实现攻 击阻断、动态防护与自我修复。 3. 开源软件安全分析系统SCA是融合AI智能体与SBOM治理的开源软件安全闭环管控平台，搭载多LLM Agent漏洞可达性分析、AI卷积神经网络二进制级解析、运行时应用靶向防护技术。基于SBOM安全治理实践，能够无缝嵌入DevOps流程，实现开源软件安全全生命周期闭环治理，筑牢开源供应链安全底座。 4. 供应链安全威胁情报与态势感知管理系统SCSP基于自主研发的智能供应资产探测采集与关键节点建模分析技术，动态构建覆盖供应链全生命周期的资产图谱，搭载多模块AI检测智能体，联动实时威胁情报数据，精 准识别技术风险、供应关系风险、知识产权风险等多维度威胁，并可基于图谱快速溯源风险、定位影响路径，赋能供应链全链条风险监测与预警。 5. 静态代码审计系统SAST通过业界领先的静态语法、语义、控制及数据流等分析技术，结合AI分析模型，挖掘应用源代码中存在的缺陷风险，跟踪和定位应用软件的代码质量和安全漏洞。

1. 交互式应用安全检测系统IAST基于自研的AI全链路智能动态污点分析技术，基于AI自动化漏洞验证来降低误报率，基于上下文的AI智能进行动态定级，实现可视化风险态势辅助决策。IAST可将漏洞定位时间平均缩短80%以上，业务逻辑漏洞的自动化发现率提升60%-80%，对API和复杂应用的测试覆盖率提升50%以上，将需要紧急修复的漏洞告警数量减少70%-90%。 2. 数字应用免疫系统ASTP结合运行时应用免疫防护RASP，实现攻防一体的AI驱动全链路闭环治理，通过AI内生免疫实时阻断攻 击，自主AI污点分析适配云原生架构，赋能金融行业稳定性大规模落地验证，提供供应链传播路径等可视化风险态势展示。与传统网络安全根据相比，ASTP更细颗粒度的实时防护生产环境具体应用，使进攻无法被绕过，为应用增加 40%-60% 的未知威胁检测覆盖能力，能将针对已知应用层攻 击的漏报率降低70%-90%，并且能够发现未知的0day攻 击或逻辑复杂的进攻。 3. 开源软件安全分析系统SCA能够在无源码场景下进行二进制函数级AI精 准识别，通过AI智能体自动分析漏洞可达性实现伪漏洞过滤，实现全链路SBOM治理全程可识别、可追溯、可管控、可修复。SCA可以将漏洞发现从部署后提前至编码阶段，漏洞发现效率提升60-90%，告警精度提升85%以上，误报率降低80-90%。修复一个库版本比在生产服务器上打补丁或重启服务简单数个量级，可将修复成本降低80-95%。 4. 供应链安全威胁情报与态势感知管理系统SCSP能够实时动态的供应关系建模、实现复杂供应链精确可视化；全量软件供应链风险聚合去重、实现供应链风险管理统一化；多LLM Agent协调编排架构融合、实现供应链风险检测智能化；基于供应关联关系的风险定位与溯源、实现安全治理网格化；基于资产图谱的供应链威胁情报告警、实现资产风险告警实时化。 5. 静态代码审计系统SAST基于领先的语义分析和AI融合技术，实现精确的代码审计和安全漏洞检测，支持全栈国产信创环境部署和运行，自动化集成对接多维度开发环境。行道SAST将自定义代码的安全缺陷检出率在开发早期提升了至少50%，并实现了对代码库的安全可见性，自动化扫描速度相较于人工效能提升95%以上，并能够将安全漏洞的平均修复成本降低一个数量级（约90%），并显著缩短了风险暴露时间窗口（超过90%）。

1. 公司以高水平、强创新能力和发展潜力荣膺浙江省优质创新型中小企业。后以专 业化、精细化、特色化、新颖化的出色特质通过浙江省经济和信息化厅审核，升级评为“浙江省专精特新中小企业”。 2. 公司获评“浙江省高新技术企业研究开发中心”，体现了政府对安全玻璃盒研发能力、技术实力和发展潜力的期望和认可。 3. 公司获批通信网络安全服务能力评定风险评估资质。同时还通过中国信息安全测评中心信息安全服务资质风险评估、安全工程类认证，表明公司在安全 风险评估、安全需求分析、安全方案设计、安全建设集成、安全监控和维护等多个领域的能力得到认可。 4. 公司通过ISO9001质量管理体系认证，代表公司在软件供应链安全产品和服务质量管理方面迈入规范化、标准化新阶段；通过ISO27001信息安全管理体系认证，这表明公司信息安全管理体系设计科学、运行有效；通过ISO14001环境管理体系认证。 5. 公司获评国家信息安全漏洞库CNNVD技术支撑单位、CNNVD漏洞信息共享合作单位，体现公司在漏洞研究、风险分析、安全支撑和服务保障等方面综合实力得到认可。 6. 公司产品（开源软件安全分析系统SCA）通过国家 机关第三研究所颁发的供应链安全检测证工具类—增强级能力认证。这表示SCA的风险检测分析能力、结果输出精 准度都到达到业界领先水平。 7. 公司产品交互式应用安全检测系统IAST、开源软件安全分析系统SCA、数字应用免疫系统ASTP获得中国信通院产品检验认证。产品通过了五大项功能性、两项性能效率和六项安全性验证。 8. 全球领先的IT咨询机构IDC发布《IDC Innovators: 中国DevSecOps技术，2022》，【安全玻璃盒】孝道科技以自主研发国内头一个“All in one三合一”交互式应用安全检测和开源成分安全分析与免疫防御一体化平台，实现DevSecOps技术创新和独具示范性等独特优势成为IDC中国DevSecOps技术创新者。 9. 安全玻璃盒“软件安全管理平台”项目凭借技术先进性、应用价值、可推广性等优势，获工信部等十二部 委网络安全技术应用试点示范项目。 10. 公司自主申报的“面向行业监管的供应链安全智能体检测与威胁治理体系”课题成功立项“软件融合应用与测试验证工信部重点实验室2025年度开放课题”，彰显了安全玻璃盒在软件供应链安全领域的科研创新实力再次获得国家

目前已覆盖各大关键基础设施行业的TOP级用户，包括中国证 监会、交通银行、兴业银行、中国银联、浙江农信社、财通证券、中国移动、中国电信、中国联通、国家电网、比亚迪、山东航空、中国信息安全测评中心及各省市级大数据发展管理局等TOP级用户。 1.为中国人民银行浙江省分行部署交互式应用安全检测系统IAST，高 效监测业务系统运行状态，精 准识别应用漏洞与风险，实现开发安全闭环管理，筑牢区域金融核心应用的主动防御防线。 2.为浙商银行先后部署交互式应用安全检测系统IAST、数字应用免疫系统ASTP，构建起从开发测试到生产运营的全流程安全防护体系，深度挖掘潜在威胁，显著提升应用抗风险能力，保障金融业务连续性。 3.为兴业银行部署交互式应用安全检测系统IAST，深度融合开发与运维流程，实时捕获并阻断应用层攻 击，有效降低上线安全 风险，助力银行构建更加敏捷、稳健的应用安全防御机制。 4.为北京银行部署交互式应用安全检测系统IAST、开源软件安全分析系统SCA，实现对代码成分及运行行为的全 面透视，从源头管控开源风险，结合动态检测能力，保障银行应用系统的安全合规。 5.为浙江省农信社先后部署开源软件安全分析系统SCA、静态代码审计系统SAST、交互式应用安全检测系统IAST、数字应用免疫系统ASTP，并定制整体软件供应链安全之解决方案，打造“四位一体”的纵深防御体系，覆盖软件全生命周期，系统性化解供应链安全挑战。 6.为中国出口信用保险公司部署交互式应用安全检测系统IAST，并提供整体软件供应链安全之解决方案，强化应用运行时的风险感知能力，通过体系化建设弥补安全短板，为关键信息基础设施提供坚实可靠的业务安全保障。 7.为广西壮族自治区大数据发展局部署交互式应用安全检测系统IAST，提升政务数据应用的安全水位，精 准检测业务逻辑漏洞，有效规避数据泄露风险，助推政府数字化转型与数字政府安全建设。 8.为浙江省农业科学院部署数字应用免疫系统ASTP，并提供整体软件供应链安全之解决方案，建立应用层面的免疫防御机制，实现对未知威胁的主动识别与阻断，有力保障科研数据资产与业务系统的安全稳定运行。 9.为国网浙江省电力有限公司提供软件供应链安全之解决方案，针对能源行业特点构建纵深防御屏障，强化软件全流程风险管控与合规审查，为电力关键信息基础设施的平稳运行保驾护航。

1、某国内知名上市城商银行：开源软件供应链安全管理系统建设有效解决了开源组件漏洞识别难、修复慢的痛点。通过全生命周期管控与DevSecOps集成，大幅提升了组件选型效率与应急响应速度，实现了从被动防御到主动治理的转变，为金融业务创新筑牢了安全基石。 2、某省卫 健委：交互式应用安全检测与防御项目成功将安全测试左移至开发阶段，利用AI动态污点跟踪技术，在不影响业务前提下精 准定位漏洞。有效满足了医疗场景下API加密等复杂检测需求，避免了系统“带病上线”，为“互联网+医疗健康”提供了坚实的安全保障。 3、西南地区某省大数据发展管理局：新一代数字应用安全平台建设平台构建了“攻防一体”的内生安全体系，覆盖数字应用全生命周期。在共享交换及健康码等关键系统中，实现了漏洞早发现与运行时实时防护，显著降低了运维成本，提升了政务数据的安全性及公共服务系统的稳定性。 4、某省农信社：软件供应链安全管控服务云平台首创集约化服务模式，有效解决了中小行社安全资源不足的难题。通过统一赋能，实现了外采软件准入严控与自研代码安全左移，试点行社上线漏洞数量大幅下降，以低成本构建了高标准的金融软件供应链安全防线。 5、某城商银行：软件安全开发体系建设通过构建全流程安全开发体系，成功将安全嵌入需求至下线各环节。结合IAST与SCA工具，实现了漏洞的早期发现与快速修复，显著降低了后期整改成本。项目不仅提升了代码质量，更培养了全员安全文化，增强了客户信任。 6、某全国性股份制商业银行：数字应用免疫防御能力建设项目引入RASP技术弥补了传统流量检测的盲区，实现了对内存马、0day漏洞的精 准拦截与热补丁修复。系统在无需修改代码的情况下，为数十个业务系统提供了运行时免疫防护，累计阻断攻 击五十万余次，极大提升了应用韧性。 7、华东地区某省大数据发展管理局：政务软件上线即安全与免疫防御解决方案实现了政务软件“上线即安全”的目标，通过SBOM管理与运行时免疫机制，成功应对了Log4j2等重大突发漏洞。不仅保障了公共数据的全生命周期安全，还建立了动态可持续的防护体系，为数字政府建设树立了安全标杆。 如需进一步了解我司安全软件产品及相关服务，欢迎拨打孝道科技咨询热线 ：133-7683-9086；企业官网www.tcsec.com.cn

1.经济效益 （1）降低企业运营成本 减少安全事件损失：通过实时监测软件漏洞风险、投毒断供、许可合规等风险，以及实现供应链攻 击链溯源和影响范围分析，企业能够快速响应和处理安全事件，降低因业务中断、数据泄露、系统修复等带来的直接经济损失。 优化安全管理成本：构建标准化、自动化的软件供应链安全治理体系，减少了人工检测和管理的成本。自动化工具链的应用提高了检测效率和准确性，降低了因人工操作失误带来的风险，同时也减少了对专 业安全人员的依赖，从而降低了企业的人力成本。 （2）提高企业运营效率 加速软件开发流程：开源软件安全分析、交互式应用安全测试、二进制代码安全分析等自动化工具链的应用，能够在软件开发过程中及时发现和解决安全问题，避免在后期集成或上线阶段因安全问题导致的返工和延误，从而加快软件开发和部署速度，使企业能够更快地将产品推向市场，提高市场竞争力，为企业带来更多的商业机会和收入。 提升供应链协同效率：可视化的供应链资产图谱和安全图谱使企业能够清晰了解供应链的上下游关系和安全状况，便于与供应商进行更有效的沟通和协作。通过及时共享安全信息，协同解决安全问题，提高了整个软件供应链的协同效率，降低了因信息不对称导致的成本增加。 2.社会效益 推进关基安全保障工作：政务、金融、能源等行业是国家关键基础设施的重要组成部分，保障这些行业的软件供应链安全，有助于维持社会正常运转。 行业示范作用：通过在行业头部企业及关基设施运营者中的应用实施，起到了良好的示范作用。通过推广软件供应链安全治理的理念和实践经验，提高了整个行业对软件供应链安全的重视程度，促使其他企业加强自身的网络安全建设，从而提升了社会整体的网络安全意识和防护能力。 3.发布软件供应链安全专 业著作：《软件供应链安全实践指南》 本书结合公司多年软件供应链安全实践经验积累，阐述软件供应链安全的背景和定义，深入剖析软件供应链安全关键技术，具体分析软件安全研发全生命周期的安全建设，提出了软件供应链安全治理框架及方案，为我国软件供应链安全技术创新和发展提供参考。本书填补了国内软件供应链安全专 业书籍的空白，助力国家数字软件供应链安全的创新发展，可作为网安从业者对软件供应链安全治理工作的参考和指导。希望在本书的指引下，与业界同仁共同推进软件供应链安全体系的构建和发展，为筑牢国家网络安全屏障添砖加瓦、保驾护航。

范丙华，杭州孝道科技有限公司创始人&CEO，信息技术高级工程师、国家注册信息安全专 业人员（CISP）、杭州市高层次人才E类人才。毕业于浙江大学计算机科学与技术专 业，深耕信息安全领域20年，研究方向涵盖网络与信息安全、软件供应链安全、代码安全、软件开发应用安全等，拥有近20项安全核心技术发明专利。曾参与金融、数字政府、运营商、能源、军 工等众多关键行业软件供应链安全体系规划和建设。 范丙华被聘请为西安电子科技大学研究生指导教师、中国信通院软件供应链安全社区专家、浙江省信息通信协会专家、浙江省网络空间安全协会专家、浙江省网络空间安全协会常 务理事、杭州数据安全联盟专家等；曾主编软件供应链安全领域专著《软件供应链安全实践指南》，由电子工业出版社正式发行出版，并受到中国工程 院院士沈昌祥等联合力荐。曾主导参与国家标准《信息安全技术 软件产品开源代码安全评价方法》、《网络安全技术 软件物料清单数据格式》，省级地方标准《基于安全检测插件的Web应用系统安全检测技术规范》及其他行业标准编制工作。曾作为项目承担单位负责人牵头立项2025年度省“尖兵”科技计划项目。并牵头联合西安电子科技大学杭州研究院共建软件供应链安全可信技术联合实验室。如需进一步了解我司安全软件产品及相关服务，欢迎拨打孝道科技咨询热线 ：133-7683-9086；企业官网www.tcsec.com.cn