TL; DR
Los agentes de IA ahora funcionan npm install sin intervención humana. Durante quince años, la seguridad de los paquetes npm partía de la base de que el desarrollador se detenía, leía el nombre del paquete y decidía. Los asistentes de codificación automatizada simplifican este proceso a un único paso autónomo, eliminando el único punto de control en el que se basaban la mayoría de los programas de seguridad.
La superficie de ataque se movió antes que las defensas. Una investigación realizada en dieciséis LLM reveló que casi uno de cada cinco paquetes recomendados no existía: más de 200 000 nombres ficticios únicos, muchos de ellos recurrentes en las solicitudes repetidas y, por lo tanto, susceptibles de ser explotados. Al mismo tiempo, una vulnerabilidad crítica del puente MCP (con más de 437 000 descargas) permitía la ejecución remota de código completa en el momento en que un agente se conectaba a un servidor no confiable. El agente decide y ejecuta en un solo paso; no hay pausa.
La detección y la aplicación de las normas deben ser automáticas, siempre, independientemente de quién haya iniciado la instalación. MEW observa el registro — Escanear continuamente npm, PyPI y Maven, detectando paquetes maliciosos mediante análisis de comportamiento antes de que exista una firma pública. Shield observa la instalación — interceptar el tráfico del gestor de paquetes a nivel del sistema operativo y hacer cumplir la política de su organización antes de que nada llegue al disco, en cuestión de milisegundos, independientemente de si la solicitud proviene de una terminal o de un agente autónomo.
La seguridad de los paquetes npm es solo una parte de un cambio más amplio: Los mismos agentes que ejecutan la instalación son activos de IA que la mayoría de las organizaciones no han inventariado. Seguridad de IA de Xygeni Cierra ese ciclo: descubrir, puntuar, corregir. MEW está incluido en el nivel gratuito para desarrolladores.
Durante quince años, la seguridad de los paquetes npm asumió una cosa: un humano se sentaba entre el decision para agregar una dependencia y el momento en que llegó al disco. Alguien escribió el nombre del paquete; alguien presionó enter. Esa suposición está desapareciendo silenciosamente, justo en el momento en que npm se convirtió en el ecosistema de paquetes más atacado en la historia de la cadena de suministro de software: tres incidentes importantes en la cadena de suministro en ocho meses, un gusano autopropagante que convirtió a los desarrolladores en el mecanismo de entrega y un paquete descargado 100 millones de veces por semana comprometido con malware de un estado nación.
La rica historia de npm, incluso antes de que la IA entrara en escena.
npm ya era el ecosistema hacia el que se sentían atraídos los atacantes, y los últimos doce meses muestran por qué. Septiembre de 2025, Shai-Hulud se convirtió en el primer gusano autopropagante en extenderse a través de npm, convirtiendo a los propios desarrolladores en el mecanismo de entrega. Marzo de 2026, axios, Un paquete descargado más de 100 millones de veces por semana, fue comprometido con malware estatal oculto en su interior. Un mes después, un paquete casi idéntico El patrón gusano volvió a afectar al ecosistema npm a través de los paquetes SAP. El mismo manual de instrucciones, repetido a gran escala. Tres incidentes graves en ocho meses, todos registrados en un mismo archivo. Esa es la situación inicial. Los agentes de IA cambian lo que sucede después.
También es lo que discutiremos en el terreno en Día Alemán de OWASP 2026, 23 y 24 de septiembre en Karlsruhe. ¡Más información al final!
¿Qué cambia cuando la instalación no la escribe un humano?
Los asistentes de codificación automatizada ya no se limitan a sugerir código. Cada vez más, deciden que se necesita una dependencia, eligen un paquete y ejecutan la instalación en medio de la tarea, sin que un humano lea primero el nombre del paquete. Dos aspectos de su funcionamiento deberían preocupar a cualquier equipo que confíe en las prácticas de seguridad de paquetes npm diseñadas para un entorno con intervención humana.
- Los agentes alucinan. Los atacantes conocen los nombres de los paquetes. Una investigación académica a gran escala generó más de dos millones de muestras de código en dieciséis modelos de lógica de negocio (MLG) y descubrió que casi uno de cada cinco paquetes recomendados no existía, con más de 200,000 nombres ficticios únicos. Peor aún, los investigadores encontraron que los mismos nombres ficticios se repetían en varias solicitudes, lo que significa que son vulnerables: un atacante puede registrar el nombre que un modelo de IA tiene probabilidades estadísticas de sugerir antes que nadie y esperar.
- La instalación en sí se ha convertido en un vector de ataque. Una vulnerabilidad crítica en un puente MCP de uso generalizado, descargado más de 437 000 veces, permitía la ejecución remota completa de código en el momento en que un cliente se conectaba a un servidor MCP no confiable, el tipo de conexión que un agente autónomo puede establecer por sí solo. El punto de control de seguridad tradicional de los paquetes npm, donde una persona se detiene a revisar lo que está a punto de ejecutar, no existe en ese flujo de trabajo. El agente decide y ejecuta en el mismo paso.
Dos capas de seguridad para paquetes npm que no dependen de que un humano se dé cuenta.
Aquí es donde la seguridad de los paquetes npm debe pasar de "un desarrollador lee con atención" a "la plataforma decide automáticamente, siempre". Xygeni AI Security cubre esto con dos capas distintas.
- MEW (Alerta Temprana de Malware) vigila el registro en sí. Analiza continuamente los paquetes recién publicados en npm, PyPI y Maven, e identifica los maliciosos mediante análisis de comportamiento, no mediante la comparación de firmas. Esto significa que detecta el malware incluso antes de que exista una firma pública. Los paquetes identificados se investigan, se confirman y se reportan al registro público para ayudar a detener su distribución. Esto se aplica tanto a los paquetes que un desarrollador agrega manualmente como a los que un agente selecciona automáticamente, ya que a MEW no le importa quién inició la instalación, sino qué hace el paquete. También forma parte del plan gratuito para desarrolladores de Xygeni.
- Shield Aplica la política en el momento exacto en que se produce la instalación. Intercepta el tráfico de npm, PyPI y Maven a nivel del sistema operativo, de forma transparente, sin necesidad de reconfigurar el gestor de paquetes. Cada instalación se verifica según la política de su organización antes de que el paquete llegue al disco y antes de que se ejecute cualquier script de instalación. Y porque Shield atributos cada decisEn cuanto al proceso exacto, PID, ejecutable y línea de comandos que lo solicitó, no importa si esa solicitud provino de la terminal de un desarrollador o de un agente que se ejecuta de forma autónoma en segundo plano, la política se aplica de la misma manera, siempre.cisLos iones se obtienen de la caché en cuestión de milisegundos, por lo que no ralentizan a nadie, ni a humanos ni a agentes.
En conjunto, se trata de detección a nivel de registro y aplicación de medidas en el momento de la instalación, cubriendo los dos momentos en los que el riesgo de los paquetes npm se materializa realmente.
Esta es la conversación sobre seguridad de la IA, no una nota al margen.
La seguridad de los paquetes npm es una parte visible de un cambio más amplio: La IA ahora forma parte de la superficie de ataque.No es solo una herramienta que usan los desarrolladores. Los mismos modelos, agentes y servidores MCP que deciden ejecutar una instalación de npm son activos de IA que su organización administra y, en la mayoría de los casos, no tiene un inventario completo. Xygeni Seguridad AI descubre esos activos, evalúa su riesgo en comparación con el OWASP Top 10 para aplicaciones LLM y, a través de DevAI, corrige el código vulnerable, generado por IA o escrito por humanos, dentro del IDE antes de su lanzamiento. Escribimos más sobre ese marco de descubrimiento-detección-corrección, y por qué el descubrimiento por sí solo no es suficiente, en una publicación complementaria sobre Gestión de la postura de seguridad de la IA.
Xygeni en el Día Alemán de OWASP 2026
Llevaremos esta misma conversación a Karlsruhe. Xygeni es patrocinador en Día Alemán de OWASP 2026, Ejecutando Septiembre-23 24 en la IHK Haus der Wirtschaft, junto con aproximadamente 200 profesionales de la seguridad de aplicaciones de toda Alemania y la región.
Hablaremos sobre la seguridad de los paquetes npm en un mundo con agentes: qué es MEW y Shield En realidad, captan lo que el MCP actual y Los datos de amenazas de ocupación ilegal se ven así:y cómo la IA genera code security encaja en un programa que ya está en ejecución SAST, SCAy Secretos escaneando en lugar de estar apartado de él.
Esa misma semana, también estamos en OWASP AppSec Days Portugal 2026 en Oporto, donde somos patrocinadores Oro y hablamos sobre la gestión de la postura de seguridad de la IA de forma más amplia. ¡Sea cual sea el evento que se ajuste a tu calendario, estaremos encantados de hablar contigo!
MEW (Sistema de Alerta Temprana de Malware de Xygeni) Está disponible en el nivel gratuito para desarrolladores, sin necesidad de tarjeta de crédito. Cubre npm, PyPI y Maven, detecta paquetes maliciosos mediante análisis de comportamiento antes de que exista una firma pública y se aplica a todas las instalaciones, independientemente de si las inició un desarrollador o un agente.
Preguntas Frecuentes
- ¿Por qué debe cambiar la seguridad de los paquetes npm debido a los agentes de IA?
La mayoría de las prácticas de seguridad de paquetes npm presuponen que un humano revisa el nombre del paquete antes de instalarlo. Los asistentes de codificación automatizada pueden seleccionar e instalar una dependencia en un solo paso, sin revisión humana, lo que elimina el punto de control del que dependía dicha práctica. La detección y la aplicación de las medidas de seguridad deben realizarse automáticamente, tanto en el registro como en el momento de la instalación, independientemente de quién o qué la haya iniciado.
- ¿Cuál es la diferencia entre MEW y Shield?
MEW supervisa el registro: analiza los paquetes npm, PyPI y Maven recién publicados y detecta comportamientos maliciosos antes de que exista una firma pública. Shield Supervisa la instalación: aplica la política de su organización a nivel del sistema operativo en el momento en que se solicita la instalación de un paquete, bloqueándola antes de que llegue al disco si infringe la política. Una opción es la detección en el momento de la publicación; la otra, la aplicación en el momento de la instalación.
- ¿Esto reemplaza? SCA ¿exploración?
No. El triaje, la explicación y la remediación mediante IA de Xygeni se aplican a los hallazgos de los propios escáneres de Xygeni y a los hallazgos ingeridos de terceros. SCA y las herramientas de seguridad de aplicaciones ya están implementadas, por lo que el riesgo de los paquetes npm queda cubierto sin necesidad de eliminar las herramientas existentes.
- ¿Dónde puedo hablar con Xygeni sobre esto?
Xygeni estará presente en el OWASP Day alemán 2026, del 23 al 24 de septiembre en Karlsruhe, donde hablará sobre seguridad de paquetes npm y seguridad de la IA. También somos patrocinadores Oro en el OWASP AppSec Days Portugal 2026, que se celebrará la misma semana en Oporto.
