Dum la lastaj kelkaj jaroj, aplikaĵsekureco havis klaran limon: la deponejo kaj la pipelineTie troviĝis la kontroloj, tie okazis la skanadoj, tie la teamoj decidis ĉu io estos sendita al produktado. Ĉio baziĝis sur unu supozo: programisto eksplicite elektis kiun kodon kaj kiujn dependecojn oni eniris la sistemon.
Tiu supozo jam ne validas. Kreskanta parto de kodo hodiaŭ estas verkita, proponita aŭ instalita de artefarita inteligenteco-agento, ofte sen ke iu ajn rigardu la nomon de tio, kio estas enŝovita. Kiam la decisJu pli da io, kio eniras la kodon, moviĝas, tiel ankaŭ moviĝas la atako. Ĝi moviĝas al la plej antaŭa parto de la procezo: en la momento kiam la kodo estas kreita, ene de la asistanto mem kaj en la dosieroj kiuj agordas ĝin.
Jen via AI-ataksurfaco: ĉiu modelo, agento, MCP-servilo, kapablo kaj AI-sugestita dependeco, kiu nun povas enkonduki riskon antaŭ ol homo iam ajn revizias ĝin. La sama AI, kiun viaj programistoj fidas, nun estas parto de ĝi. Ĉi tio ne estas estonta risko. Ĝi estas ŝanĝo, kiu jam okazis, kaj jen kiel ĝi aspektas en praktiko.
Ondo da atakoj, ne izolita okazaĵo
Neniu el la jenaj estas laboratoria ekzercocise aŭ hipoteza. Ĉi tiuj estas publikaj, dokumentitaj okazaĵoj, preskaŭ ĉiuj de la pasinta jaro, kaj ĉiu el ili rilatas iom pli al la AI-agento mem:
- Aŭgusto 2025, singulareco: Atakantoj ŝtelis publikigan ĵetonon de Nx, unu el la plej vaste uzataj konstruosistemoj, kaj puŝis malicajn versiojn al npm, uzante artefaritan inteligentecon por ĉasi sekretojn sur la maŝinoj de programistoj.
- Septembro 2025, kreto/sencimigi: unu el la plej grandaj kompromisoj de npm laŭ atingo, 18 pakaĵoj kun pli ol du miliardoj da semajnaj elŝutoj, transprenitaj per la ŝtelo de la konto de ununura prizorgisto.
- Septembro 2025, Shai-Hulud: unu el la unuaj dokumentitaj vermoj kapablaj mem-disvastiĝi per npm. Ĝia dua ondo, en novembro, estis pli agresema kaj ligita al sekretoj malkaŝitaj tra pli ol 25 000 deponejoj.
- Oktobro 2025, neuzataj importadoj: parto de la kampanjo PhantomRaven, kie AI-halucino enkondukis realan malican programaron en npm per slopsquating-tekniko.
- Ĉi-jare, ClawHub: venenigita registro de AI-kapabloj, kie kvin el la sep plej elŝutitaj kapabloj estis malica programaro.
La industrio formaligas la saman konkludon. La OWASP Top 10 por LLM-Aplikoj metas promptan injekton ĉe la unua loko. La OWASP MCP Top 10 (nuntempe en beta-versio) celas la protokolon, kiun agentoj uzas por komuniki kun iloj. La OWASP Agentic Skills Top 10, nova inkubatora projekto, nomas malicajn kapablojn kiel sian ĉefan riskon. OWASP kutime moviĝas singarde; malfermi tri frontojn samtempe, unu el ili urĝe, diras ion pri kiom rapide ĉi tio moviĝas.
Ĉiuj tri konverĝas al la sama ideo: la instrukcioj, iloj kaj agordoj ĉirkaŭ modelo nun estas parto de la ataksurfaco de AI, kaj ili kutime troviĝas en via propra deponejo. Kio levas la unuan demandon, kiun valoras demandi al viaj teamoj: kiu revizias la reguldosierojn, kapablojn kaj MCP-agordojn, kiuj troviĝas en via deponejo?
Vektoro 1: la venenigita kapablo
Kapablo estas dosiero de instrukcioj kaj kapabloj, kiu instruas al artefarita inteligenteco-agento kiel plenumi taskon. Ĝi ne estas la sola maniero formi la konduton de agento (reguldosieroj, hooks, kaj MCP-agordoj faras la samon), sed ili ĉiuj dividas unu econ: ili vojaĝas ene de la deponejo, kun la kodo.
Esplorado ĉi-jare reviziis 4 000 el ĉi tiuj kapabloj:
- 36% havis almenaŭ unu sekurecan difekton.
- 13.4% estis kritikaj.
- Preskaŭ 100 havis malicajn utilajn ŝarĝojn rekte.
La kerna ŝanĝo: la atakanto jam ne celas vian kodon. Ili celas la agenton, kiu skribas vian kodon, plantante kaŝitajn instrukciojn (foje uzante nevideblajn signojn), kiujn la modelo legas kaj traktas kiel funkciajn. Homa recenzisto aprobas la pull request bonfide ĉar, laŭ iliaj okuloj, la dosiero aspektas pura. La modelo interpretas instrukciojn, kiujn la recenzisto neniam vidis.
Ĉi tio ne estas teoria. CVE-2025-59536 (CVSS 8.7) permesis lanĉi Claude Code el nefidinda deponejo, kie malica agordo povus ruli komandojn antaŭ ol la uzanto akceptis la fidan dialogon. Dua vundebleco, CVE-2026-21852, permesis elfiltradon de API-ŝlosilo per projekt-kontrolita agordo, sen ke la uzanto aprobu ion ajn.
H2: Vektoro 2: slopsquatting
La nomo miksas "slop" (la rubaĵo, kiun artefarita inteligenteco foje generas) kun la klasika tajperara okupo. Tajperaro dependas de homa eraro: atakanto registras pakaĵnomon proksiman al populara kaj atendas tajperaron. Ĝi estas hazarda.
Fendokaŭrado ne atendas eraron. En la studo referencita dum ĉi tiu sesio, 19.7% el la pakaĵreferencoj generitaj de AI-modeloj montris al pakaĵoj, kiuj ne ekzistas. Modeloj emas haluciniĝi la samajn nomojn plurfoje, do atakanto observas, kiujn nomojn la artefarita inteligenteco inventas, registras tiujn nomojn kun malica kodo, kaj atendas la sekvan de artefarita inteligenteco sugestitan instaladon por enigi ĝin en vian aplikaĵon.
La skalo ne estas malgranda: pli ol 450 000 novaj malicaj pakaĵoj estis identigitaj en 2025. Du ekzemploj konkretigas ĝin:
- Esploristo plantis sendanĝeran testpakaĵon nomatan brakuma vizaĝo-kli por pruvi la punkton. Ĝi registris pli ol 30 000 elŝutoj en tri monatoj.
- neuzataj-importoj, laŭ la supra templinio, estis konfirmita malica programaro, loĝanta en publika registro, uzante ĝuste ĉi tiun teknikon. Tiu ne estis testo.
La demando ne estas ĉu tio povas okazi al via teamo. Temas pri kiom da pakaĵoj proponitaj de artefarita inteligenteco enigas vian kodon hodiaŭ sen ke iu ajn rigardas ilin.
La respondo: standards atingas la malfruon
Du fortoj kuras paralele. Dum la atakoj akceliĝas, standardla korpoj reagas:
- NIST SP 800-218A etendas la kadron de sekura programara disvolviĝo per praktikoj specifaj por AI-modeloj, inkluzive de pruvo de integreco kaj deveno.
- In Majo 2026, CISA kaj ĝiaj internaciaj G7-partneroj publikigis gvidliniojn pri Programara Listo de Materialoj por AI, difinante kio apartenas en tiu inventaro: modeloj, datumaroj, komponantoj, provizantoj kaj dependecoj.
La direkto estas klara: la SBOM disetendiĝas en AI-BOM. Vi ne povas atesti aŭ dokumenti tion, kion vi ne povas stoki. Kaj hodiaŭ, plej multaj organizoj ne povas:
- 43% ne povas kontroli aŭ inventari la AI-ilojn, kiujn ili jam uzas.
- 79% havas nenian videblecon pri la AI-agentoj kaj MCP-sistemoj funkciantaj en sia propra medio.
En reguligitaj medioj, ĉi tiu inventaro moviĝas de bona praktiko al kontrakta atendo aŭ plenuma devo. Sed inventaro nur montras al vi tion, kion vi havas. Per si mem, ĝi ne blokas atakon.
La breĉo: EDR por AppSec
SAST kaj SCA iloj estas desegnitaj por analizi kodon kaj dependecojn, ne la konduton de agento aŭ ĝian agordon. BDU vidas procezojn kaj retkonektojn, sed tipe mankas al ĝi la aplikaĵ-sekureca kunteksto por interpreti dependecon aŭ agentan konfiguracion. Inter tiuj du kategorioj de iloj troviĝas breĉo, precize kie kodo nun kreiĝas, kaj precize kie troviĝas la AI-ataka surfaco.
Tiu breĉo havas tri blindajn punktojn:
- AI-aktivaĵoj. Modeloj, agentoj kaj MCP-serviloj ne aperas sur via SAST's aŭ SCAradaro. Vi ne povas inventari tion, kion vi ne povas vidi.
- Agordaĵdosieroj. Kapabloj, reguloj kaj MCP-agordoj formas la konduton de agentoj, sed estas tipe reviziataj kvazaŭ ili estus sendanĝera simpla teksto.
- Pakaĵaj instaladoj. A malica dependeco povas funkcii antaŭ ol oni scias, ke ĝi estas malica, poste elfiltras sekretojn kaj ĵetonojn sen ke iu ajn aprobu tion.
Kiel Xygeni fermas ĝin
Kion EDR faras por finpunktoj, Ksgeni Ŝildo faras por la vivociklo de artefarita inteligenteco-helpata disvolviĝo: ĝi protektas kie kodo estas kreita, samtempe komprenante la aplikaĵ-sekurecan kuntekston.
- Videbleco kie SAST kaj SCA ne atingu. Xygeni markas malicajn kapablojn kaj regulojn, analizas MCP-agordojn, kaj konstruas revizio-pretan sistemon. AI-BOM, mapita al la OWASP LLM, MCP, kaj Agentic Skills Top 10s.
- Inteligenteco, ne nur subskriboj. MEW (Malicara Frua Averto) analizas la konduton kaj riskon de pakaĵo por bloki ĝin antaŭ ol ekzistas CVE, averto aŭ publika subskribo. Ĝisdata retinteligenteco interrompas konektojn al konata malica infrastrukturo.
- Unu kontrolpunkto, de kodo ĝis finpunkto. Ununura agento, deplojita sen rearkitekturado de la medio, kun enkonstruita eŭropa datumsuvereneco kaj konformecpruvo.
En viva demonstraĵo, ĉi tiu devigo de politiko blokis provon de artefarita inteligenteco instali malican pakaĵon tra tri malsamaj instalaj vojoj (virtuala medio, pakaĵadministrilo kaj rekta elŝuto) antaŭ ol la instalado finiĝis, ĉio registrita en reala tempo kaj eksportebla al SOC. La enkonduko de unua projekto tipe daŭras ĉirkaŭ unu horon; etendi kovradon tra plena organizo kutime daŭras unu ĝis du semajnojn, depende de la strukturo.
FAQ
Kio estas la ataksurfaco de AI en unu paragrafo?
La ataksurfaco de AI estas la aro de modeloj, agentoj, MCP-serviloj, kapabloj, reguldosieroj kaj de AI-proponitaj dependecoj, tra kiuj risko povas eniri aplikaĵon, ofte antaŭ ol homo revizias ĝin. Ĝi etendiĝas preter tradicia kodo kaj dependecoj por inkluzivi la agordodosierojn kaj instrukciojn, kiuj formas la konduton de AI-agento.
Kiel mi povas scii ĉu pakaĵnomo proponita de mia AI-asistanto estas halucino aŭ nur legitima sed nekonata?
Validigu antaŭ instalado: kontrolu la registron kaj analizu la faktan enhavon kaj celon de la pakaĵo anstataŭ fidi nur la nomon. Xygeni aŭtomatigas ĉi tiun validigon en reala tempo dum kodgenerado, do instalado estas aprobita aŭ blokita antaŭ ol ĝi funkcias, sendepende de tio, ĉu la pakaĵo estas iu, kiun vi rekonas aŭ ne.
Ĉu slopsquating influas ĉiujn AI-modelojn egale?
La esploro malantaŭ la 19.7%-a cifero kovris plurajn modelojn kaj trovis, ke la problemo estas vaste distribuita, kun nur malgranda variado inter ili. Ĉi tio estas ŝablono tra AI-helpata disvolviĝo, ne difekto specifa por unu asistanto.
Ĉu ni povas retroaktive kontroli ĉu ni jam instalis halucinitan aŭ malican pakaĵon?
Jes. La platformo de Xygeni donas al klientoj aliron al prizorgata datumbazo de detektitaj malicaj pakaĵoj, serĉebla kontraŭ via ekzistanta komponenta inventaro, por ke vi povu konfirmi per kelkaj klakoj ĉu io ajn jam instalita estas konata minaco.
Kiom longe daŭras efektivigo por mezgranda organizo kun pluraj teamoj?
Enkonduki la unuan projekton kutime daŭras ĉirkaŭ unu horon. Skalado tra plena organizo kutime daŭras unu ĝis du semajnojn, depende de la teamstrukturo kaj labormanieroj.
Mapu vian ataksurfacon de AI, senpage
Mapu la artefaritan inteligentecon (AI) de via aplikaĵo senpage: kreu konton kaj lanĉu unuan skanadon post kelkaj minutojKomencu per unuopa aplikaĵo, vidu kia AI estas en ĝi, kaj vidu kiu parto de via AI-ataksurfaco estas danĝera.
*Kelkaj kapabloj menciitaj supre estas devigitaj per Xygeni Shield kaj la ASPM/AI Sekurecaj moduloj; havebleco povas varii laŭ plano. Vidu ksigeni.io por aktualaj produktaj detaloj.
