把向开源软件提交恶意代码作为一种供应链攻击方式，不是网络安全研究者为了发论文而臆想出来的，而是已经多次发生的现实情况。并且这种攻击未来将越来越多，越来越严重。
最近几年，NPM、PyPI 等开源生态已经多次被人用这种手法攻击。甚至 Docker Hub 也未能幸免。就在一个月前，有攻击者仿冒 Rasmus Lerdorf 和 Nikita Popov 的账号发起了两次恶意代码提交，在 PHP 的代码里留下了远程代码执行后门。
面对供应链攻击威胁的不止是开源软件。闭源软件也一样，最近的 SolarWinds 事件就是如此。所以开源社区大可不必认为相关研究是为了试图证明开源技术不安全，不必觉得开源软件竟然能被提交恶意代码是丢人的事情。
这类研究可以帮助人们更好地认识此类攻击，让人们意识到现有模式在面对此类攻击时是多么脆弱。而无论有没有这样的研究，开源社区也迟早需要正视这个威胁，调整模式来应对。