በቀረበው ቁጥጥር የተደረገበት ጥናት ውስጥ የUSENIX ደህንነት 2025ተመራማሪዎቹ 576,000 የኮድ ናሙናዎችን እንዲያመነጩ 16 ትላልቅ የቋንቋ ሞዴሎችን ጠይቀዋል። እነዚያ ሞዴሎች ከሚመክሩት ክፍት ምንጭ ፓኬጆች ውስጥ ከአምስት ውስጥ አንዱ ማለት ይቻላል አልተገኘም፡ 205,474 ልዩ የውሸት የጥቅል ስሞች፣ ከምንም የተፈጠረ። ያ በዘፈቀደ ቢሆን ኖሮ የማወቅ ጉጉት ይሆን ነበር። አይደለም። አርባ ሶስት በመቶ የሚሆኑት በቅዠት የተጻፉ ስሞች በተደጋጋሚ ጥያቄዎች ላይ ደጋግመው ታይተዋል። አጥቂዎች የኮድ ረዳት ምን እንደሚፈጥር መገመት የለባቸውም። ስሙን መጀመሪያ መመልከት፣ መጠበቅ እና መመዝገብ ይችላሉ።
ዋናው ችግር ይህ ነው የ AI አቅርቦት ሰንሰለት ደህንነት በአንድ ሙከራ፡ የሶፍትዌር ልማትን የሚያፋጥነው ተመሳሳይ AI ወደ እሱ የሚገመት እና ሊበዘበዝ የሚችል የመግቢያ ነጥብ ሆኗል። ለደህንነት ቡድኖች የሚጠየቀው ጥያቄ AI የሶፍትዌር አቅርቦት ሰንሰለትን ይነካ እንደሆነ አይደለም። በሁለቱም የትግሉ ጎኖች ምን እያደረገ እንዳለ ማየት ይችሉ እንደሆነ ነው፡ AI ኮድዎን ሲጽፍ፣ AI የእርስዎን የሚከላከል pipelineእና አንድ አጥቂ ወደ ሁለቱም እያመለከተ ነው።
የ AI አቅርቦት ሰንሰለት ደህንነት ምንድን ነው?
የAI አቅርቦት ሰንሰለት ደህንነት የሶፍትዌር አቅርቦት ሰንሰለትን በአርቴፊሻል ኢንተለጀንስ ከሚመጡ ወይም ከሚባባሱ አደጋዎች የመጠበቅ ልምምድ እና ያንን የአቅርቦት ሰንሰለት ለመከላከል AIን የመጠቀም ልምምድ ነው። አብዛኛዎቹ የደህንነት ፕሮግራሞች አሁንም ለየብቻ የሚያስተናግዷቸው ሁለት አዝማሚያዎች መገናኛ ላይ ይገኛል፡ ወደ ኮድቤዝ የሚገባ በAI የተፈጠረ ኮድ እና ጥገኝነቶችን ኢላማ ያደረገ በAI የተጎላበቱ ጥቃቶች፣ ግንባታ pipelineዎች፣ እና በዙሪያው ያሉ የገንቢ መሳሪያዎች።
ባህላዊ የመተግበሪያ ደህንነት በሚታወቅ አካል ውስጥ የሚታወቅ ተጋላጭነት መኖር አለመኖሩን ይጠይቃል። የAI አቅርቦት ሰንሰለት ደህንነት የበለጠ ፈጣን እና ከባድ ጥያቄዎችን ይጠይቃል፡- ይህ የAI ወኪል አሁን የጫነው ጥገኝነት በእርግጥ አለ ወይስ በቅዠት ተፈጥሯል? ይህ አዲስ የታተመ ጥቅል እስካሁን ምንም ፊርማ ባይኖርም በተንኮል ይሠራል? የትኞቹ የAI ሞዴሎች፣ ወኪሎች እና ግንኙነቶች በሶፍትዌር ልማት የህይወት ዑደት ውስጥ እየሰሩ ናቸው፣ እና ምን ሊደርሱ ይችላሉ?
እነዚህን ጥያቄዎች በፍጥነት ኮድ መመለስ በእውነቱ ሙሉው ዲሲፕሊን ነው።
AI የአቅርቦት ሰንሰለት ጥቃት ገጽታ እንዴት ሆነ
አጥቂዎች ከተወሰነ ጊዜ በፊት በAI ላይ ሙከራ ማድረግ አቁመዋል። አሁን ኮዱን እና ጥገኞቹን በቀጥታ ኢላማ የሚያደርጉ ስራዎችን ይገነባሉ፣ በኢንቦክስ እና በ... login ገጾች.
ስሎፕስኩዊቲንግ፡- የአይአይ ፈጠራዎችን መሳሪያ መጠቀም
ቴክኒኩ አሁን ስም አለው፡ ተንሸራታች ቁጭ ብሎ መጫወት, በኤፕሪል 2025 በፓይዘን ሶፍትዌር ፋውንዴሽን ውስጥ የደህንነት ገንቢ በሆነው በሴት ላርሰን የተፈጠረ። ሜካኒካሎቹ ቀላል እና ጨካኝ ናቸው። የAI ኮድ አዘጋጆች የሌሉ የጥቅል ስሞችን በመደበኛነት ይጠቁማሉ። እነዚያ ቅዠቶች ስለሚደጋገሙ፣ አንድ አጥቂ የተፈጠረውን ስም እንደ እውነተኛ፣ ተንኮል አዘል ጥቅል አድርጎ መመዝገብ እና የሚቀጥለው ገንቢ (ወይም የሚቀጥለው ራሱን የቻለ ወኪል) እስኪጭነው መጠበቅ ይችላል።
ቀደም ሲል የተዘገበው ነገር አስቀድሞ ተመዝግቧል። በ2023 የደህንነት ተመራማሪ ባር ላንያዶ በተደጋጋሚ በቅዠት የሚገለጽ ስም ስር ባዶ የቦታ ያዥ ፓኬጅ አሳትሟል፣ huggingface-cliበሦስት ወራት ውስጥ ከ30,000 ጊዜ በላይ ወርዷል፣ እና በቅዠት የተተገበረው የመጫኛ ትዕዛዝ ከአንድ ትልቅ የቴክኖሎጂ ኩባንያ በተዘጋጀ የህዝብ ማከማቻ README ውስጥ እንኳን ታይቷል። ያ ቀላል ፈተና ነበር። እውነተኛ የክፍያ ጭነት ያለው ተመሳሳይ የጨዋታ መጽሐፍ አሁን ለአጥቂዎች የሚደገም የንግድ ሞዴል ነው።
ራስን የሚገዙ የኮድ ወኪሎች የመጨረሻውን የሰው ፍተሻ ጣቢያ በማስወገድ ይህንን ያባብሳሉ። ያለግምገማ ጥገኝነቶችን የሚጭን ወኪል አንድ ገንቢ ፓኬጁ የተሳሳተ መስሎ ከታየበት ጊዜ አንዱን ያስወግዳል።
በኢንዱስትሪ ደረጃ ተንኮል አዘል ፓኬጆች
ስሎፕስኩዊቲንግ በጣም ሰፊ በሆነ የሥራ ዘመን ውስጥ አንድ ዘዴ ነው። በ2025፣ ከፍተኛ መጠን ያላቸው ተንኮል አዘል ፓኬጆች ዘመቻዎች እንደ Xygeni's የአቅርቦት ሰንሰለት ጥቃቶች የመነሻ ኦፕሬቲንግ ሞዴል ሆነ ለ2026 አዲስ የAppSec ጥቃት አዝማሚያዎች ሰነዶች። አጥቂዎች የአይፈለጌ መልዕክት ኢኮኖሚክስን ተቀብለዋል፡ ተንኮል አዘል ፓኬጆችን በሺዎች ያወጣሉ፣ ፈጣን ማውረድን ይቀበላሉ፣ እና ከጽናት ይልቅ በዕድል ላይ ይተማመናሉ። የህዝብ መዝገቦች አሁን በዓመት በመቶ ሺዎች የሚቆጠሩ አዳዲስ ተንኮል አዘል ፓኬጆችን ያስቀምጣሉ፣ እና አጭር የመጋለጥ መስኮት እንኳን የታችኛውን ግንባታዎች ይበክላል።
ኤምሲፒ፡ አዲስ፣ በአብዛኛው ደህንነቱ ያልተጠበቀ የግንኙነት ንብርብር
የሞዴል አውድ ፕሮቶኮል (MCP) የAI ወኪሎች ከመሳሪያዎች እና ከውሂብ ምንጮች ጋር እንዲገናኙ ያስችላቸዋል። እንዲሁም አብዛኛዎቹ ስካነሮች ፈጽሞ የማይመረምሩበት አዲስ የጥቃት ወለል ይፈጥራል። ተንኮል አዘል የMCP አገልጋይ ከትክክለኛዎቹ ጋር በማይታይ ሁኔታ ሊቀመጥ ይችላል፣ በማንኛውም መዳረሻ ባለው ወኪል ሊደረስበት ይችላል። OWASP በ2025 የMCP 10 ከፍተኛ ደረጃዎችን አሳትሟል እነዚህን አደጋዎች ለመዘርዘር፣ ከፈጣን መርፌ እና ከመሳሪያ መመረዝ እስከ አውታረ መረቡ ላይ ያለ ማንኛውም ወኪል ሊደርስባቸው ወደሚችል ያልተረጋገጡ አገልጋዮች።
በAI የተፈጠረ ኮድ ውስጥ የሚፈሱ ምስጢሮች
በቼክ ፖይንት የውጭ አደጋ አስተዳደር (ቀደም ሲል) መሠረት፣ የተጣሱ የምስክር ወረቀቶች በ2025 ከ2024 ጋር ሲነፃፀሩ በ160% ገደማ ጨምረዋል። ሳይበርንት)፣ በከፊል በAI-የተሻሻለ ፊሺንግ እና infostealer ማልዌር የሚመራ። በሶፍትዌር አካባቢዎች፣ በቀጥታ በAI-የመነጨ ኮድ ውስጥ ካሉ ጠንካራ ኮድ ካላቸው ቁልፎች እና ቶከኖች ጋር ይገናኛል። .env ፋይል ወደ አውዱ ውስጥ በተሰጠው አስተያየት ውስጥ ምስጢር ሊፈጥር ይችላል፣ እና አጥቂዎች በትክክል ያንን ንድፍ ይቃኛሉ።
የሰው ልጅ ገጽታም አልጠፋም። የIBM የውሂብ ጥሰት ወጪ ሪፖርት 2025 እንዳመለከተው፣ በAI ውስጥ ከተፈጸሙ ጥሰቶች መካከል 37% የሚሆኑት በAI የተፈጠረ ፊሺንግ እና 35% የሚሆኑት ደግሞ ጥልቅ የውሸት ማስመሰልን ተጠቅመዋል፣ ይህም በገንቢዎች ላይ ያነጣጠሩ ቴክኒኮችን በሐሰተኛ የቅጥር አገልግሎት እና በማስመሰል የጥበቃ አካውንቶች አማካኝነት ይበልጥ ያነጣጠሩ ናቸው።
AI የአቅርቦት ሰንሰለቱን እንዴት እንደሚከላከል
የ AIን አደገኛ የሚያደርጉት ችሎታዎች ለተከላካዮች ጠቃሚ የሚያደርጉት ናቸው። በአቅርቦት ሰንሰለቱ ውስጥ፣ ያ ልውውጥ በአራት ቦታዎች ላይ በጣም ተጨባጭ ነው።
ከፊርማው በፊት የማልዌር ማወቂያ
ይህ የመግለጫ ችሎታ ነው። ባህላዊ ቅኝት አንድን ፓኬጅ ከመጠቆም በፊት የሚታወቅ መጥፎ ፊርማ ይጠብቃል፣ ይህም ከታተመ በኋላ ባሉት ሰዓታት ውስጥ በሺዎች የሚቆጠሩ ውርዶችን ለሚያስገኙ ጥቃቶች በመዋቅራዊ ሁኔታ በጣም ቀርፋፋ ነው። በባህሪ ላይ የተመሠረተ ማወቂያ በምትኩ አዲስ የታተመ ፓኬጅ በሚታይበት ጊዜ ይመዘግባል፡ የመጫኛ ጊዜ እርምጃዎቹ፣ የአውታረ መረብ ጥሪዎች፣ የመደበቅ ቅጦች እና የሜታዳታ ያልተለመዱ ነገሮች። ይህም የመስኮቱን slopsquatting እና የፊደል አጻጻፍ ዘመቻዎች ላይ የተመሰረቱ ናቸው። በፊርማ ላይ የተመሰረቱ ዳሳሾች ሙሉ በሙሉ ያመለጧቸው የ2025 መጨረሻ የሻይ-ሁሉድ እና የGlassWorm npm ዘመቻዎች ቅድመ-ዝግጅት ናቸው።cisየጉዳይ ባህሪ ትንተና የተገነባው ለመያዝ ነው።
ቅድሚያ መስጠት በብዝበዛ፣ በድምጽ ሳይሆን
የAI ለዘመናዊው AppSec በጣም ተግባራዊ አስተዋጽኦ ተጨማሪ ችግሮችን ማግኘት አይደለም፤ አስቀድሞ የተገኘውን ነገር ድምፅ መቀነስ ነው። የተደራሽነት ትንተና ተጋላጭ የሆነ የኮድ መንገድ በትክክል መፈጸሙን ይወስናል። የብዝበዛ ውጤት የእውነተኛ ዓለም የጥቃት መረጃን ከጥሬ CVSS ቁጥር ጋር ያመዛዝናል። አንድ ላይ ሆነው ቡድኖች በሺዎች የሚቆጠሩ ዝቅተኛ ምልክት ያላቸውን ማንቂያዎች በእጅ ከመፈተሽ ይልቅ እውነተኛ፣ ሊበዘበዙ የሚችሉ አደጋዎችን በሚወክሉ ግኝቶች ክፍልፋይ ላይ እንዲያተኩሩ ያስችላቸዋል።
የአኖማሊ ምርመራ በ pipeline ደረጃ
In የዳርክትራክስ የሳይበር ደህንነት ሁኔታ 2026 ጥናትየደህንነት መሪዎች የአደገኛ ምርመራ እና ያልተለመደ ምርመራ (72%) እንደ አውቶማቲክ ምላሽ (48%) እና የተጋላጭነት አስተዳደር (47%) ከመምጣቱ በፊት የአዕምሮ ንቃተ ህሊና ከፍተኛ ተጽዕኖ የሚያሳድርበት አካባቢ ብለው ሰየሙ። CI/CDይህ ማለት ከዚህ በፊት ከታየው ከማንኛውም ነገር በተለየ መልኩ የሚሰራ የመጫኛ ስክሪፕትን መጠቆም ማለት ነው pipelineወይም ያልተጠበቀ የአውታረ መረብ ጥሪ የሚያስተዋውቅ የጥገኝነት ዝማኔ።
ራስ-ሰር፣ ሊገመገም የሚችል ማስተካከያ
ከማግኘት እና ከደረጃ አሰጣጥ ስጋት ባሻገር፣ AI አሁን መፍትሄውን ያመነጫል፡ ደህንነቱ የተጠበቀ፣ በማዕቀፍ ላይ የተመሰረተ የኮድ ለውጥ እንደ pull request በታሪክ መዝገብ ውስጥ የሚበሰብስ ትኬት ከመሆን ይልቅ። IBM በደህንነት ስራዎች ውስጥ በስፋት የAI እና አውቶሜሽን የሚጠቀሙ ድርጅቶች አጠቃላይ የጥሰት የህይወት ዑደታቸውን ወደ 204 ቀናት እንደቀነሱ አረጋግጠዋል፣ ይህም ላልተጣጠፉት 284 ቀናት (በ80 ቀናት ውስጥ በፍጥነት) እንደሚቀንስ እና በአንድ ጥሰት በአማካይ 1.9 ሚሊዮን ዶላር እንደሚቆጥቡ አረጋግጠዋል። አደጋን ሳይዘጉ አደጋን መለየት የተጠራቀመውን ቦታ ያዛውራል፤ የAI ትራይጅን ከAI-የተፈጠሩ ጥገናዎች ጋር ማጣመር ዑደቱን ይዘጋል።
አብዛኛዎቹ ቡድኖች የአስተዳደር ክፍተት አልተዘጋም
ይህ የማይመችው ክፍል ነው። የዳርክትራክስ የ2026 ጥናት እንዳመለከተው 77% የሚሆኑ ድርጅቶች አሁን በደህንነት ክምቻቸው ውስጥ ጀነሬቲቭ አርቴፊሻል ኢንተለጀንስ (AI) እያስኬዱ ነው፣ ነገር ግን 37% የሚሆኑት ብቻ አርቴፊሻል ኢንተለጀንስን ደህንነቱ በተጠበቀ ሁኔታ ለመጠቀም የሚያስችል መደበኛ ፖሊሲ አላቸው። ይህ ቁጥር ከዓመት በፊት ከነበረው 45% ቀንሷል። ጉዲፈቻ ከአስተዳደር በላይ እየሆነ ነው፣ እና አጥቂዎች ክፍተቱን እየተጠቀሙበት ነው።
ለሶፍትዌር ቡድኖች፣ በግልጽ ይታያል፡ የAI ኮድ ረዳቶች፣ ወኪሎች እና የMCP ግንኙነቶች ቀድሞውኑ በ... ላይ እየሰሩ ነው። SDLCብዙ ጊዜ የሚያገኙትን ወይም ያስተዋወቁትን ነገር ማዕከላዊ ታይነት ሳይኖራቸው። አብዛኛዎቹ ድርጅቶች የደመና አቅራቢዎቻቸውን ስም ሊሰይሙ ይችላሉ። ከገንቢው ማሽን ሊደረስባቸው የሚችሉትን እያንዳንዱን የAI ሞዴል፣ ወኪል እና የMCP አገልጋይ ስም ሊሰይሙ የሚችሉት በጣም ጥቂቶች ናቸው። ያ ክምችት፣ የAI ቢል ኦፍ ማቴሪያልስ (AI-BOM)፣ የቀረው የAI አቅርቦት ሰንሰለት ደህንነት የተገነባበት መሠረት ነው። ያላከማቹትን ነገር ማረጋገጥ አይችሉም።
የAppSec ቡድኖች አሁን ምን ማድረግ አለባቸው
የ አማካይ የውሂብ ጥሰት በ2025 (IBM) 4.44 ሚሊዮን ዶላር ወጪ አድርጓል፣ እና የአቅርቦት ሰንሰለቱ ከጊዜ ወደ ጊዜ ከሚገቡት የመግቢያ ነጥቦች አንዱ እየሆነ መጥቷል። ተግባራዊ ምላሹ በአጭሩ “AIን መቀበል” አይደለም። አጭር እና ተጨባጭ ዝርዝር ነው፡
- በእርስዎ ውስጥ ምን አይነት AI እየሰራ እንደሆነ ይገምግሙ SDLC. ሞዴሎች፣ ወኪሎች፣ የMCP አገልጋዮች እና የAI ኮድ ማድረጊያ መሳሪያዎች ሀብቶች ናቸው። በመጀመሪያ የAI-BOM ግንባታ ያድርጉ።
- በAI የተፈጠረ ኮድን እንደ ሰው የተጻፈ ኮድ አድርገው ይያዙት። የሚያጠናቅቀው ኮድ በራስ-ሰር ደህንነቱ የተጠበቀ አይደለም፣ እና ጥገኞቹ እንደሌላው ማንኛውም ነገር ተመሳሳይ ግምገማ ይገባቸዋል።
- ተንኮል አዘል ዌርን በፊርማ ሳይሆን በባህሪው ይለዩ። በፊርማ ላይ የተመሠረተ ቅኝት ለከፍተኛ መጠን ላላቸው እና ለአጭር ጊዜ ለሚቆዩ የጥቅል ዘመቻዎች በመዋቅራዊ መልኩ በጣም ቀርፋፋ ነው።
- ቅድሚያ የሚሰጠው በብዝበዛ አቅም እንጂ በማንቂያ ድምጽ አይደለም። የ AI የመከላከያ ጠቀሜታ እውነተኛ አደጋን ከጫጫታ መለየት ነው፣ ተጨማሪ ነገር መፍጠር አይደለም።
- ማወቂያ ብቻ ሳይሆን በራስ-ሰር ማረም። ያለ ማስተካከያ ማወቅ የተረፈውን ቦታ ወደ ሌላ ቦታ ያንቀሳቅሰዋል።
የ AI አቅርቦት ሰንሰለት ደህንነት ወዴት እያመራ ነው
ሁለት ቅጦች የሚቀጥሉትን ጥቂት ዓመታት ይገልጻሉ። በመጀመሪያ፣ ጥቃቶች በዘፈቀደ ሳይሆን በመጠን ሊተነበዩ እየሆኑ መጥተዋል፡ slopsquatting አስቀድሞ ይሰራልcisምክንያቱም የ AI ቅዠቶች ወጥነት ያላቸው በመሆናቸው፣ ይህ ማለት መከላከያ ከአንድ ጊዜ ፊርማ ወደ ተመሳሳይነት የሚመጣጠን የቅጥ እውቅና መቀየር አለበት። ሁለተኛ፣ መከላከያ ከ"ሰውን ማስጠንቀቅ" ወደ "ትኬት ከመኖሩ በፊት መለየት፣ ውጤት ማስመዝገብ እና ምላሽ መስጠት" እየተሸጋገረ ነው። መሬት የሚያገኙ ድርጅቶች የተንኮል ፓኬጅ ባህሪን የሚይዙት በህትመት ጊዜ ነው፣ CVE እስኪጻፍ ድረስ አይጠብቁም።
AI አዲሱ አደጋዎ እና ምርጥ መከላከያዎ ነው፣ ብዙውን ጊዜ በተመሳሳይ ስርዓት ውስጥ
AI በአንድ ጊዜ በሁለት አቅጣጫዎች ይጎትታል። አጥቂዎችን ሊለኩ የሚችሉ እና አውቶማቲክ መሳሪያዎችን ይሰጣል፣ እና ተከላካዮች በክብደት በእጅ ግምገማ ላይ የመለየት እና ምላሽ የመስጠት ችሎታን በፍፁም አያገኝም። ያ ሁለትነት የAI አቅርቦት ሰንሰለት ደህንነት እንደ አንድ ሀሳብ ሊዘጋ ወይም ሙሉ በሙሉ ሊታገድ የማይችልበት ምክንያት ነው።
ይህ ነው ክፍተቱ ዚጌኒ ለመዝጋት ተገንብቷል። የማልዌር ቅድመ ማስጠንቀቂያ (MEW) የሕዝብ እና የግል መዝገቦችን ያለማቋረጥ ይከታተላል እና ማንኛውም ፊርማ ከመኖሩ በፊት ተንኮል አዘል ፓኬጆችን እንደታተሙ ወዲያውኑ ያገኛል፣ በሰው ምርምር ቡድን የተረጋገጡ የAI ውሳኔዎችን በመጠቀም። ዚጌኒ Shield ይህንን ብልህነት በገንቢው የመጨረሻ ነጥብ ላይ እንዲሰራ ያደርገዋል፡ ስክሪፕቶቻቸው ከመጀመራቸው በፊት ተንኮል አዘል ፓኬጆችን በመጫኛ ጊዜ ያግዳል፣ እና በእያንዳንዱ ማሽን ላይ የAI መሳሪያዎችን፣ ወኪሎችን እና የMCP አገልጋዮችን ይዘረዝራል። አንድ ላይ ሆነው ይህ ጽሑፍ ለሚገልጸው ስጋት ዓላማ የተገነቡ ናቸው፡ ተንሸራታች ስኩዊንግ፣ የፊደል አጻጻፍ፣ የጥገኝነት ግራ መጋባት እና የጥበቃ ስምምነት፣ ጨምሮ ሻይ-ሁሉድ እና የ GlassWorm የጥቃት ክፍሎች ፊርማ ላይ የተመሰረቱ መሳሪያዎች ጠፍተዋል። ከተደራሽነት-ተኮር ቅድሚያ አሰጣጥ ጋር ተጣምሮ፣ በእርስዎ ላይ ያለ AI-BOM SDLCእና በራስ-ሰር የመጎተት ጥያቄ ማስተካከያ፣ በAI የተፈጠረ ኮድ እና በAI የሚደገፉ ጥቃቶች ገንቢዎችን ሳያዘገዩ ተመሳሳይ ምርመራ ያድርጉ።
በነፃ ይጀምሩ። የXygeni የገንቢ ዕቅድ €0 ነው፡ 10 ማከማቻዎች፣ በወር 200 ቅኝቶች፣ እስከ 5 አስተዋጽዖ አበርካቾች፣ የክሬዲት ካርድ የለም። Sign up with GitHub, GitLab ወይም Google ን በመጠቀም የመጀመሪያውን ቅኝትዎን በ10 ደቂቃ ውስጥ ያሂዱ፤ Shield የመጨረሻ ነጥብ ጥበቃ በቅርቡ ወደ ገንቢው ዕቅድ እየመጣ ነው።
በየጥ
የ AI አቅርቦት ሰንሰለት ደህንነት ምንድን ነው?
የAI አቅርቦት ሰንሰለት ደህንነት የሶፍትዌር አቅርቦት ሰንሰለቱን እንደ ቅዠት ጥገኝነት፣ ተጋላጭነቶችን የያዘ በAI የመነጨ ኮድ እና ተንኮል አዘል የMCP ግንኙነቶች ካሉ አደጋዎች ይጠብቃል፣ እንዲሁም በባህሪ ላይ የተመሠረተ የማልዌር ማወቂያ፣ የብዝበዛ ቅድሚያ መስጠት እና በራስ-ሰር ማስተካከያ አማካኝነት ለመከላከል AIን ይጠቀማል።
የሶፍትዌር አቅርቦት ሰንሰለትን ለመከላከል AI እንዴት ጥቅም ላይ ይውላል?
AI በፊርማ ላይ የተመሰረቱ መሳሪያዎች ሊዛመዱ የማይችሉትን መከላከያዎች ያስችላል፡ አዲስ የታተመ ፓኬጅ በሚታይበት ጊዜ ባህሪን ማስመዝገብ፣ ተጋላጭ የሆነ የኮድ መንገድ በእርግጥ ሊደረስበት የሚችል መሆኑን መወሰን፣ ያልተለመደ ነገርን መጠቆም pipeline እንቅስቃሴ፣ እና እንደ ማዕቀፍ-ተኮር ጥገናዎችን ማመንጨት pull requests ከዘገዩ ቲኬቶች ይልቅ።
ባህላዊ ስካነሮች በ AI የሚመሩ የአቅርቦት ሰንሰለት ጥቃቶችን ለምን መያዝ አይችሉም?
ባህላዊ መሳሪያዎች በሚታወቁ ፊርማዎች እና በታተሙ CVEዎች ላይ የተመሰረቱ ናቸው፣ ስለዚህ አንድን ጥቅል የሚጠቁሙት ተንኮል አዘል እንደሆነ ከታወቀ በኋላ ብቻ ነው። ከፍተኛ መጠን ያላቸው፣ ለአጭር ጊዜ የሚቆዩ የጥቅል ዘመቻዎች ከታተሙ በኋላ ባሉት ሰዓታት ውስጥ ውርዶችን ያከማቻሉ (ፊርማ ከመኖሩ ከረጅም ጊዜ በፊት)፣ ለዚህም ነው በባህሪ ላይ የተመሠረተ፣ ቅድመ-ፊርማ መለየት የሚያስፈልገው።
AI-BOM ምንድን ነው እና ለምን አስፈላጊ ነው?
የ AI የቁሳቁሶች ቢል (AI-BOM) በሶፍትዌር ልማት የህይወት ዑደት ውስጥ የሚንቀሳቀሱ የእያንዳንዱ የ AI ሞዴል፣ ወኪል እና የ MCP ግንኙነት ዝርዝር ነው። ይህ አስፈላጊ ነው ምክንያቱም ያላከማቹትን ነገር ማረጋገጥ ስለማይችሉ እና አብዛኛዎቹ ድርጅቶች ከገንቢው ማሽን ሊደረስበት የሚችል AI ማዕከላዊ ታይነት የላቸውም።
