Durante quince años, la seguridad de los paquetes npm asumió una cosa: un humano se sentaba entre el decisSe suponía que era necesario agregar una dependencia y que esta se guardaba en el disco. Alguien escribía el nombre del paquete; alguien pulsaba Enter. Esa suposición está desapareciendo silenciosamente, y sucede justo cuando npm se ha convertido en el ecosistema de paquetes más buscado en la historia de la cadena de suministro de software.
La rica historia de npm, incluso antes de que la IA entrara en escena.
npm ya era el ecosistema hacia el que se sentían atraídos los atacantes, y los últimos doce meses muestran por qué. Septiembre de 2025, Shai-Hulud se convirtió en el primer gusano autopropagante en extenderse a través de npm, convirtiendo a los propios desarrolladores en el mecanismo de entrega. Marzo de 2026, axios, Un paquete descargado más de 100 millones de veces por semana, fue comprometido con malware estatal oculto en su interior. Un mes después, un paquete casi idéntico El patrón gusano volvió a afectar al ecosistema npm a través de los paquetes SAP. El mismo manual de instrucciones, repetido a gran escala. Tres incidentes graves en ocho meses, todos registrados en un mismo archivo. Esa es la situación inicial. Los agentes de IA cambian lo que sucede después.
También es lo que discutiremos en el terreno en Día Alemán de OWASP 2026, 23 y 24 de septiembre en Karlsruhe. ¡Más información al final!
¿Qué cambia cuando la instalación no la escribe un humano?
Los asistentes de codificación automatizada ya no se limitan a sugerir código. Cada vez más, deciden que se necesita una dependencia, eligen un paquete y ejecutan la instalación en medio de la tarea, sin que un humano lea primero el nombre del paquete. Dos aspectos de su funcionamiento deberían preocupar a cualquier equipo que confíe en las prácticas de seguridad de paquetes npm diseñadas para un entorno con intervención humana.
- Los agentes alucinan. Los atacantes conocen los nombres de los paquetes. Una investigación académica a gran escala generó más de dos millones de muestras de código en dieciséis modelos de lógica de negocio (MLG) y descubrió que casi uno de cada cinco paquetes recomendados no existía, con más de 200,000 nombres ficticios únicos. Peor aún, los investigadores encontraron que los mismos nombres ficticios se repetían en varias solicitudes, lo que significa que son vulnerables: un atacante puede registrar el nombre que un modelo de IA tiene probabilidades estadísticas de sugerir antes que nadie y esperar.
- La instalación en sí se ha convertido en un vector de ataque. Una vulnerabilidad crítica en un puente MCP de uso generalizado, descargado más de 437 000 veces, permitía la ejecución remota completa de código en el momento en que un cliente se conectaba a un servidor MCP no confiable, el tipo de conexión que un agente autónomo puede establecer por sí solo. El punto de control de seguridad tradicional de los paquetes npm, donde una persona se detiene a revisar lo que está a punto de ejecutar, no existe en ese flujo de trabajo. El agente decide y ejecuta en el mismo paso.
Dos capas de seguridad para paquetes npm que no dependen de que un humano se dé cuenta.
Aquí es donde la seguridad de los paquetes npm debe pasar de "un desarrollador lee con atención" a "la plataforma decide automáticamente, siempre". Xygeni AI Security cubre esto con dos capas distintas.
- MEW (Alerta Temprana de Malware) vigila el registro en sí. Analiza continuamente los paquetes recién publicados en npm, PyPI y Maven, e identifica los maliciosos mediante análisis de comportamiento, no mediante la comparación de firmas. Esto significa que detecta el malware incluso antes de que exista una firma pública. Los paquetes identificados se investigan, se confirman y se reportan al registro público para ayudar a detener su distribución. Esto se aplica tanto a los paquetes que un desarrollador agrega manualmente como a los que un agente selecciona automáticamente, ya que a MEW no le importa quién inició la instalación, sino qué hace el paquete. También forma parte del plan gratuito para desarrolladores de Xygeni.
- Shield Aplica la política en el momento exacto en que se produce la instalación. Intercepta el tráfico de npm, PyPI y Maven a nivel del sistema operativo, de forma transparente, sin necesidad de reconfigurar el gestor de paquetes. Cada instalación se verifica según la política de su organización antes de que el paquete llegue al disco y antes de que se ejecute cualquier script de instalación. Y porque Shield atributos cada decisEn cuanto al proceso exacto, PID, ejecutable y línea de comandos que lo solicitó, no importa si esa solicitud provino de la terminal de un desarrollador o de un agente que se ejecuta de forma autónoma en segundo plano, la política se aplica de la misma manera, siempre.cisLos iones se obtienen de la caché en cuestión de milisegundos, por lo que no ralentizan a nadie, ni a humanos ni a agentes.
En conjunto, se trata de detección a nivel de registro y aplicación de medidas en el momento de la instalación, cubriendo los dos momentos en los que el riesgo de los paquetes npm se materializa realmente.
Esta es la conversación sobre seguridad de la IA, no una nota al margen.
La seguridad de los paquetes npm es una parte visible de un cambio más amplio: La IA ahora forma parte de la superficie de ataque.No es solo una herramienta que usan los desarrolladores. Los mismos modelos, agentes y servidores MCP que deciden ejecutar una instalación de npm son activos de IA que su organización administra y, en la mayoría de los casos, no tiene un inventario completo. Xygeni Seguridad AI descubre esos activos, evalúa su riesgo en comparación con el OWASP Top 10 para aplicaciones LLM y, a través de DevAI, corrige el código vulnerable, generado por IA o escrito por humanos, dentro del IDE antes de su lanzamiento. Escribimos más sobre ese marco de descubrimiento-detección-corrección, y por qué el descubrimiento por sí solo no es suficiente, en una publicación complementaria sobre Gestión de la postura de seguridad de la IA.
Xygeni en el Día Alemán de OWASP 2026
Llevaremos esta misma conversación a Karlsruhe. Xygeni es patrocinador en Día Alemán de OWASP 2026, Ejecutando Septiembre-23 24 en la IHK Haus der Wirtschaft, junto con aproximadamente 200 profesionales de la seguridad de aplicaciones de toda Alemania y la región.
Hablaremos sobre la seguridad de los paquetes npm en un mundo con agentes: qué es MEW y Shield En realidad, captan lo que el MCP actual y Los datos de amenazas de ocupación ilegal se ven así:y cómo la IA genera code security encaja en un programa que ya está en ejecución SAST, SCAy Secretos escaneando en lugar de estar apartado de él.
Esa misma semana, también estamos en OWASP AppSec Days Portugal 2026 en Oporto, donde somos patrocinadores Oro y hablamos sobre la gestión de la postura de seguridad de la IA de forma más amplia. ¡Sea cual sea el evento que se ajuste a tu calendario, estaremos encantados de hablar contigo!
Preguntas Frecuentes
¿Por qué debe cambiar la seguridad de los paquetes npm debido a los agentes de IA?
La mayoría de las prácticas de seguridad de paquetes npm presuponen que un humano revisa el nombre del paquete antes de instalarlo. Los asistentes de codificación automatizada pueden seleccionar e instalar una dependencia en un solo paso, sin revisión humana, lo que elimina el punto de control del que dependía dicha práctica. La detección y la aplicación de las medidas de seguridad deben realizarse automáticamente, tanto en el registro como en el momento de la instalación, independientemente de quién o qué la haya iniciado.
¿Qué es el slopsquatting?
El slopsquatting se produce cuando un atacante registra el nombre de un paquete que los asistentes de codificación de IA probablemente identifiquen erróneamente y recomienden. Una investigación generó más de dos millones de muestras de código en dieciséis modelos de lenguaje de programación (LLM) y descubrió que casi uno de cada cinco paquetes recomendados no existía, y que muchos de los mismos nombres identificados erróneamente se repetían en las solicitudes sucesivas, lo que los hacía lo suficientemente predecibles como para registrarlos con antelación.
¿Cuál es la diferencia entre MEW y Shield?
MEW supervisa el registro: analiza los paquetes npm, PyPI y Maven recién publicados y detecta comportamientos maliciosos antes de que exista una firma pública. Shield Supervisa la instalación: aplica la política de su organización a nivel del sistema operativo en el momento en que se solicita la instalación de un paquete, bloqueándola antes de que llegue al disco si infringe la política. Una opción es la detección en el momento de la publicación, la otra es la aplicación de la política en el momento de la instalación.
¿Esto reemplaza? SCA ¿exploración?
No. El triaje, la explicación y la remediación mediante IA de Xygeni se aplican a los hallazgos de los propios escáneres de Xygeni y a los hallazgos ingeridos de terceros. SCA y las herramientas de seguridad de aplicaciones ya están implementadas, por lo que el riesgo de los paquetes npm queda cubierto sin necesidad de eliminar las herramientas existentes.
¿Dónde puedo hablar con Xygeni sobre esto?
Xygeni estará presente en el OWASP Day alemán 2026, del 23 al 24 de septiembre en Karlsruhe, donde hablará sobre seguridad de paquetes npm y seguridad de la IA. También somos patrocinadores Oro en el OWASP AppSec Days Portugal 2026, que se celebrará la misma semana en Oporto.
