TL; DR
ሁሉም ማለት ይቻላል የምህንድስና ቡድን የAI ኮድ ረዳቶችን ይጠቀማል። በትክክል ምን አይነት AI እንደሚያሄዱ ማንም ሰው ሊመዘግብ አይችልም። ጋርትነር በ2025 ለመረጃ ደህንነት ሃይፕ ዑደቱ ውስጥ የAI ደህንነት የአቋም አስተዳደርን እንደ ምድብ ገልጾታል ምክንያቱም ክፍተቱ እውነተኛ ስለሆነ፡ ሞዴሎች፣ ወኪሎች፣ የMCP አገልጋዮች እና የውሂብ ስብስቦች በጥቃት ወለል ላይ ያሉ የAI ሀብቶች ናቸው፣ እና አብዛኛዎቹ ድርጅቶች እነሱን ለማየት የተዋቀረ መንገድ የላቸውም።
ያለ ማስተካከያ ግኝት ብቻ ነው dashboard. በግምት 40% የሚሆነው በAI የተፈጠረ ኮድ የደህንነት ተጋላጭነቶችን ይዟል። የAI ረዳቶች ደህንነቱ ያልተጠበቀ ቅጦችን በአንድ መጠን ያራባሉ፤ በእጅ የተሰራ ግምገማ የለም። የAI ሀብቶች ምን እንደሆኑ ማወቅ ችግሩን የሚፈታው ግማሹን ብቻ ነው - ሌላኛው ግማሽ ደግሞ አደጋቸውን በማስመዝገብ እና ኮዱ ከመላኩ በፊት በማስተካከል፣ በተመሳሳይ የስራ ፍሰት ውስጥ።
የጥቃቱ ወለል ከኮዱ የበለጠ ሰፊ ነው። የተመዘገቡ ጥቃቶች በኮዱ ዙሪያ ያሉትን ንብረቶች ኢላማ አድርገዋል፡- ረዳቶች የኋላ በር ውጤት እንዲያወጡ የሚያደርጉ በደንቦች ፋይሎች ውስጥ የተደበቀ ዩኒኮድ፣ የኤምሲፒ መሳሪያ መመረዝ እና በስፋት ጥቅም ላይ በሚውል የኤምሲፒ ድልድይ በኩል ሙሉ የርቀት ኮድ አፈፃፀም (ከ437,000 በላይ ውርዶች) እና slopsquatting - የጥቅል ስሞችን መመዝገብ የAI ሞዴሎች በስታቲስቲክስ ቅዠት የመፍጠር ዕድላቸው ከፍተኛ ነው። SAST ና SCA ከዚህ ውስጥ ምንም አታይም።
መፍትሄው አንድ ዙር ነው፣ ባለ ሶስት ነጥብ መሳሪያዎች አይደሉም፡ AI-SPM የክምችት እና የ AI-BOM ክምችት ይገነባል፤ የአይአይ ደህንነት ለኤልኤልኤም አፕሊኬሽኖች በ OWASP ከፍተኛ 10 ላይ የአደጋ ውጤት ያስመዘግባል፤ ዴቭኤአይ በIDE ውስጥ ያለውን ተጋላጭ ኮድ እንደ ተጻፈ ያስተካክላል፣ በAI የተፈጠረ እና በሰው የተፃፈ ኮድን ይሸፍናል፣ እና ሌሎች ወኪሎች ከማድረጋቸው በፊት ሊያደርጉት ያሰቡትን ይቋረጣል። ከXygeni የራሱ ስካነሮች የተገኙ ግኝቶችን እና አስቀድሞ ከመሳሪያዎች የተዋጡ ነገሮችን ሁሉ ይመለከታል። - መገልበጥ እና መተካት አያስፈልግም።
ሁሉም ማለት ይቻላል የምህንድስና ቡድን የAI ኮድ ረዳቶችን ተቀብሏል። ከሞላ ጎደል አንዳቸውም ቀላል ጥያቄን መመለስ አይችሉም፡- የትኞቹን የAI ሞዴሎች፣ ወኪሎች እና የMCP አገልጋዮች በትክክል እንሰራለን፣ እና እያንዳንዳቸው ምን አደጋ ተሸክመዋል? ያ ክፍተት አሁን ስም አለው። ጋርትነር የAI ደህንነት የአቋም አስተዳደርን በይፋ ገልጾታል። (AI-SPM) በእሱ ውስጥ እንደ ምድብ ለውሂብ ደህንነት የ2025 የሃይፕ ዑደት — CSPM እና DSPMን ያመነጨው ተመሳሳይ የዘር ሐረግ። ምድቡ ያለው ቁጥሮቹ ተጨባጭ በመሆናቸው ነው፡ በግምት 40% የሚሆነው በAI የመነጨ ኮድ የደህንነት ተጋላጭነቶችን ይይዛል፣ AI አሁን ገንቢዎች የሚጠቀሙበት የመሳሪያ መሳሪያ ሳይሆን የጥቃት ወለል አካል ነው፣ እና አብዛኛዎቹ ድርጅቶች የሚያስኬዷቸውን የAI ሀብቶች የተዋቀረ ዝርዝር የላቸውም።
እንዲሁም በዚህ መድረክ ላይ የምንወያይበት ርዕስ ነው OWASP AppSec Days ፖርቱጋል 2026መስከረም 23-24 በፖርቶ፣ ዚጌኒ የወርቅ ስፖንሰር ነውበመጨረሻው ላይ የበለጠ ነገር፣ ነገር ግን ወደፊት መዝለል ከፈለጉ፣ ቲኬትዎን እዚህ ያግኙ.
ችግሩ፡ በAI የተፈጠረ ኮድ የራሱ የሆነ የአደጋ መገለጫ አለው
በAI የሚመነጨው ኮድ ወደ 40% የሚሆነው የደህንነት ተጋላጭነቶችን ይዟል። በAI ኮድ ረዳቶች ላይ የተደረገ ገለልተኛ ጥናት እንደሚያሳየው በAI ኮድ ረዳቶች ላይ በተከታታይ ከፍተኛ የውድቀት መጠን ተገኝቷል። OWASP ከፍተኛ 10እንደ የመስመር ላይ ስክሪፕት ያሉ የተወሰኑ የችግር ምድቦች በአብዛኛዎቹ የተፈጠሩ ናሙናዎች ውስጥ ይታያሉ። የ AI ረዳቶች ኮድን በፍጥነት አይጽፉም። ደህንነታቸው ያልተጠበቁ ቅጦችን፣ ደህንነታቸው ያልተጠበቁ ጥገኝነቶችን እና ደህንነታቸው ያልተጠበቁ ውቅሮችን በፍጥነት ያባዛሉ፣ እና በእጅ የተሰራ የግምገማ ሂደት ሳይኖር በከፍተኛ መጠን ያደርጉታል።
የጥቃቱ ገጽ ረዳት በሚጽፈው ኮድ ላይ አያቆምም። ቡድኖችዎ አስቀድመው የሚያስኬዷቸውን የAI ሀብቶች እና አልፎ አልፎ የሚዘረዘሩ እቃዎችን ያጠቃልላል፡ ሞዴሎች፣ የውሂብ ስብስቦች፣ ወኪሎች እና የMCP አገልጋዮች። እያንዳንዳቸው እውነተኛ፣ የተመዘገቡ ጥቃቶችን አዘጋጅተዋል፡
- የመመሪያ ፋይል የኋላ በር፡ አጥቂዎች እንደ GitHub Copilot እና Cursor ባሉ መሳሪያዎች የሚነበቡ ደንቦች እና የውቅር ፋይሎች ውስጥ የማይታዩ የዩኒኮድ ቁምፊዎችን በመጠቀም መመሪያዎችን ይደብቃሉ፣ ይህም ረዳቱ ከኋላ በር ያለው ኮድ ሳያነሳ እንዲያወጣ ያደርገዋል። እንደ ካታሎግ ተዘርዝሯል የሚትሬ አትላስ የጉዳይ ጥናት።
- የኤምሲፒ መሳሪያ መመረዝ እና የርቀት ኮድ አፈፃፀም፡ በስፋት ጥቅም ላይ በዋለው የኤምሲፒ ድልድይ ውስጥ ከ437,000 ጊዜ በላይ የወረደ ወሳኝ ተጋላጭነት፣ ደንበኛው ከማይታመን የኤምሲፒ አገልጋይ ጋር በተገናኘበት ጊዜ ሙሉ የርቀት ኮድ እንዲተገበር አስችሏል።
- ስሎፕስኩዊቲንግ: ሰፊ የአካዳሚክ ጥናት በአስራ ስድስት የኤልኤልኤም (LLMs) ውስጥ ከሁለት ሚሊዮን በላይ የኮድ ናሙናዎችን አስገኝቷል፣ እና ከአምስት የሚመከሩ ፓኬጆች ውስጥ አንድ አጥቂዎች መመዝገብ እና አስቀድሞ መሳሪያ ማጥቃት የሚችሉባቸው ስሞች እንደሌሉ አረጋግጧል።
ከእነዚህ ውስጥ አንዳቸውም በባህላዊው ውስጥ አይታዩም SAST or SCA ቅኝት። እነዚያ መሳሪያዎች ኮድን ይረዳሉ። ሞዴል ምን እንደሆነ፣ የኤምሲፒ አገልጋይ ምን እያደረገ እንደሆነ ወይም የወኪሉ የውቅር ፋይል ተበላሽቶ እንደሆነ አይረዱም።
አብዛኛዎቹ ቡድኖች ግማሹን ችግር እየፈቱ ነው
በደመ ነፍስ የሚሰጠው ምላሽ የነጥብ መሳሪያዎችን መምታት ነው፡ አንዱ ለሞዴል ቅኝት፣ ሌላኛው ለሩጫ ጊዜ ፕሮምፕል ፋየርዎሎች፣ ሶስተኛው ለ የIDE ረዳቶች. AppSec የሰራው ተመሳሳይ ስህተት ነው SAST, SCAእና ከአስራ አምስት ዓመታት በፊት የተቃኙ ምስጢሮች፣ እና ተመሳሳይ ውጤት ያስገኛል፡ የተከፋፈለ ታይነት፣ የማንቂያ ድምጽ፣ እና "ምን አይነት የአይአይ ቴክኖሎጂ በትክክል እንሰራለን፣ እና ደህንነቱ የተጠበቀ ነው?" የሚል መልስ የሚሰጥ አንድም ቦታ የለም።
ያለ ማስተካከያ ግኝት እሳቱ የት እንዳለ ብቻ ይነግርዎታል። ያለ ግኝት ማስተካከያ ማለት የጥላ MCP አገልጋዮች እና ያልተፈቀዱ ወኪሎች ከጎኑ ቁጥጥር ሳይደረግባቸው ሲሰሩ ኮድ እያስተካከሉ ነው ማለት ነው። የAI ደህንነት ሁለቱንም በአንድ መድረክ ላይ መሸፈን አለበት፣ አለበለዚያ የአቀማመጥ አስተዳደር አይደለም። dashboard.
የተሻለው መንገድ፡ የ AI ደህንነት የአቀማመጥ አስተዳደር የሚያገኝ፣ የሚያውቅ እና የሚያስተካክል
ዚጌኒ የአይአይ ደህንነት ይህንን ዑደት በሙሉ የ AI-ዘመን ይዘጋል SDLCከሞዴሉ እና ከኤምሲፒ አገልጋይ እስከ ገንቢው የመጨረሻ ነጥብ።
- ያግኙ። AI-SPM በድርጅቱ ውስጥ ያሉትን እያንዳንዱን የ AI ሀብት በቀጥታ ክምችት ይገነባል፤ ሞዴሎች፣ የውሂብ ስብስቦች፣ ወኪሎች፣ የMCP አገልጋዮች። ያንን ክምችት በ ኤአይ-ቦም፣ በማስረጃ ላይ የተመሰረቱ ኦዲተሮች እና ተቆጣጣሪዎች፣ በአውሮፓ ህብረት የስለላ ምርምር እና ምርምር ህግ መሰረት ለከፍተኛ አደጋ ተጋላጭ ለሆኑ ስርዓቶች የቴክኒክ ሰነድ መሆን ወይም እንደ ስፔን ENS ባሉ ማዕቀፎች የሚፈለጉ የንብረት ክምችት መሆን አለመሆኑን እየጠየቁ ነው።
- ፈልግ። የ AI ደህንነት እያንዳንዱን ንብረት ከእውነተኛ አደጋ ጋር ያወዳድራል፡ ፈጣን መርፌ፣ ደህንነቱ ያልተጠበቀ የ MCP ውቅሮች፣ የውሂብ መጋለጥ፣ ከሚከተሉት ጋር የተጣጣመ ለኤልኤልኤም አፕሊኬሽኖች ከፍተኛ 10 የ OWASPግኝቶቹ ደረጃ ተሰጥቷቸዋል፣ ወደ ወረፋ አልተጣሉም።
- አስተካክል፣ ኮዱ በነጥብ ላይ ተጽፏል። እዚህ ላይ የ AI-AI የተፈጠረበት ቦታ ነው code security በእርግጥ ይፈታል። ዴቭኤአይ በIDE ውስጥ እንደ ቀጣይነት ያለው ንብርብር ሆኖ ይሰራል፣ ገንቢዎች በሰው የተጻፉ እና በAI የመነጨ ኮድ ሲሰሩ ቀስ በቀስ ይቃኛል። ወኪል የAI ተጋላጭነትን ለይቶ ማወቅን ያከናውናል፣ ካርታዎችን ያካሂዳል። በ AI የሚመሩ የጥቃት መንገዶች ጉድለት እንዴት ጥቅም ላይ ሊውል እንደሚችል ለማሳየት እና አንድ ገንቢ እነሱን ከመተግበሩ በፊት ለአጠቃቀም ብልሽት እና ለለውጥ ስጋት የተረጋገጡ በAI የተፈጠሩ ደህንነታቸው የተጠበቁ ጥገናዎችን ለማቅረብ። Guardrails በደህንነት እና በተገዢነት ፖሊሲ ላይ የተደረጉ ለውጦችን CI ላይ ከመድረሳቸው በፊት ያረጋግጡ፣ እና የተወሰነ የ DevAI ወኪል ሌሎች ወኪሎች ሊያደርጉት ያሰቡትን ይቋረጣል፡- ክህሎትን እና የደንቦችን ፋይሎች ማረጋገጥ፣ አንድ ወኪል ለመጫን የሚሞክረውን እያንዳንዱን ፓኬጅ ከማልዌር እና ከተንሸራታች ቅልጥፍና ቅጦች ጋር ማጣራት፣ እና የMCP መሣሪያን የመመረዝ ባህሪን ከመፈጸሙ በፊት መመልከት።
- አስገድድ። Shield ተመሳሳይ መመሪያውን እስከ ገንቢው የመጨረሻ ነጥብ ድረስ ያራዝመዋል፣ ይህም ደህንነቱ ያልተጠበቀ የAI እንቅስቃሴ ከመሄዱ በፊት ያግዳል።
እና የAI ትሪያጅማብራሪያ እና ማካካሻ የሚሠሩት ለXygeni ግኝቶች ብቻ ሳይሆን ቀድሞውኑ ከተዘጋጁት መሳሪያዎች ለተወሰዱ ሁሉም ነገሮች ነው፣ ቡድኖች ይህንን የሚያገኙት አስቀድመው ያፈሰሱትን ሳይነኩ ነው።
Xygeniን በ OWASP AppSec Days Portugal 2026 ያግኙ
ይህንን ውይይት ወደ ፖርቶ እናመጣለን። ዚጌኒ የወርቅ ስፖንሰር ነው በ OWASP AppSec Days ፖርቱጋል 2026፣ መሮጥ መስከረም 23-24 በ Fundação António Cupertino de Miranda.
በዝግጅቱ ላይ በተግባር ስለ AI የደህንነት አቋም አስተዳደር እንነጋገራለን፡ ቡድኖች የ AI ሀብቶችን እንዴት እያገኙ እንደሆነ፣ AI እንዴት እንደተፈጠረ code security ከሱ አጠገብ ከመቀመጥ ይልቅ አሁን ካለው የAppSec ፕሮግራም ጋር ይጣጣማል፣ እና የአሁኑ የMCP እና የወኪል ስጋቶች በዱር ውስጥ ምን እንደሚመስሉ።
እየተሳተፉ ከሆነ፣ የXygeni ቡድንን በቡዝ 12 ያግኙ። የ AI ደህንነት አቀማመጥ በካርታዎ ላይ ከሆነ እና ወደ ፖርቶ መድረስ ካልቻሉ፣ በቀጥታ ለማየት ደስተኞች ነን። በተመሳሳይ ቀናት፣ እኛም እዚህ ነን። የጀርመን OWASP ቀን 2026 በካርልስሩሄበAI ደህንነት በኩል ማውራት እና Shieldበተለይ የአፈጻጸም ደረጃ።
ከእኛ ጋር ስብሰባ ይያዙ!
በየጥ
- የAI ደህንነት የአቋም አስተዳደር (AI-SPM) ምንድን ነው?
AI-SPM አንድ ድርጅት የሚያሄድባቸውን እያንዳንዱን የAI ሀብት - ሞዴሎችን፣ የውሂብ ስብስቦችን፣ ወኪሎችን እና MCP አገልጋዮችን - የማግኘት፣ የመቆጠብ እና ያለማቋረጥ የመገምገም ዲሲፕሊን ሲሆን CSPM ለደመና እንደሚያደርገው እና DSPM ለመረጃ እንደሚያደርገው ሁሉ። ጋርትነር በ2025 የውሂብ ደህንነት Hype Cycle ውስጥ እንደ ምድብ ገልጾታል። የXygeni AI-SPM ያንን ክምችት ይገነባል እና በAI-BOM ይደግፈዋል፣ ይህም የደህንነት እና የተገዢነት ቡድኖች ለኦዲተር ሊያቀርቡ የሚችሉትን ማስረጃ ይሰጣል።
- በAI የተፈጠረ የሚያደርገው ምንድን ነው? code security ከባህላዊው የተለየ SAST or SCA?
ባህላዊ የስታቲስቲክስ ትንተና እና የጥገኝነት ቅኝት የተገነቡት ኮድ እና ፓኬጆችን ለመረዳት እንጂ በAI ላይ የተወሰነ አደጋን ለመረዳት አይደለም። ፈጣን መርፌ፣ ተንኮል አዘል ደንቦችን ወይም የክህሎት ፋይሎችን፣ የMCP መሳሪያ መመረዝን ወይም የAI ረዳት ሊጭናቸው የሚችላቸውን slopsquatted የጥቅል ስሞችን አያዩም። በAI የተፈጠረ code security ገንቢዎች አስቀድመው በሚጠቀሙበት ተመሳሳይ የስራ ፍሰት ውስጥ መቀመጥ አለባቸው፣ በሰው የተጻፉ እና በAI የመነጨውን ኮድ አንድ ላይ ይቃኛሉ፣ ይህም Xygeni DevAI በ IDE ውስጥ የሚያደርገው ነው።
- በAI የተፈጠረ ኮድ 40% የሚሆነው ተጋላጭነቶችን የያዘው ለምንድን ነው?
የAI ኮድ አድራጊዎች በስልጠና ውሂባቸው ውስጥ ያሉትን ቅጦች ይማራሉ እና ይደግማሉ፣ ደህንነታቸው ያልተጠበቀውን ጨምሮ፣ እና በእጅ የሚደረግ ግምገማ ከሚጠበቀው በላይ በጣም ፈጣን ኮድ ያመነጫሉ። ገለልተኛ ጥናቶች በAI በተፈጠሩ ናሙናዎች ውስጥ ከፍተኛ የ OWASP ከፍተኛ 10 ተጋላጭነቶችን በተከታታይ አረጋግጠዋል፣ እንደ የመስመር ላይ ስክሪፕት ያሉ የተወሰኑ የስህተት ምድቦች በአብዛኛዎቹ ሙከራዎች ውስጥ ይታያሉ።
- AI-SPM አሁን ያሉትን የAppSec መሳሪያዎቻችንን ይተካዋል?
አይ፣ እና መሞከር የለበትም። የዢጄኒ የአይአይ ትሪጅ፣ ማብራሪያ እና ማረም ከዢጄኒ ከራሱ ስካነሮች የተገኙ ግኝቶችን እና አስቀድመው ከተቀመጡ የሶስተኛ ወገን መሳሪያዎች የተገኙ ግኝቶችን ይመለከታል፣ ስለዚህ ቡድኖች ቀደም ሲል ኢንቨስት ያደረጉትን ነገር ሳይቀደዱ እና ሳይተኩ የተዋሃደ የአይአይ አደጋ ሽፋን ያገኛሉ።
- ይህንን በተግባር የት ማየት እችላለሁ?
Xygeni በ OWASP AppSec Days Portugal 2026 የወርቅ ስፖንሰር ነውመስከረም 23-24 በፖርቶ፣ እና ቡድኑ በቦታው ላይ ይሆናል ሱቁ 12 በAI-SPM፣ በAI-የመነጨ በኩል ማውራት code securityእና የአሁኑ የMCP እና የወኪል ስጋቶች ማዕበል። ቲኬትዎን ያግኙ ወይም ወደ ፖርቶ መድረስ ካልቻሉ በቀጥታ ያግኙ።
በተመሳሳይ ሳምንት፣ እኛም በ የጀርመን OWASP ቀን 2026 በካርልስሩሄ፣ በAI ደህንነት ላይ ያተኮረ እና Shieldየማስፈጸሚያ ንብርብር።
