Tehisintellektiga agendi tarneahela turvalisus oli varem lihtne, peamiselt seetõttu, et inimene seisis alati paketi nime ja versiooni vahel. Kakskümmend aastat oli see kogu mudel: keegi luges nime enne sisestamist. Mitte alati hoolikalt. Aga keegi luges.
See on nüüdseks kadunud. Küsige tehisintellekti mudelilt teeki ja umbes iga viies soovitatud pakett pole olemas. Ründajad teavad seda ja registreerivad need nimed kõigepealt. Agent installib need, testib neid ja liigub edasi ning keegi ei loe vahepeal midagi. Just siin AI-agendi tarneahela turvalisus praegu läbi kukub: mitte mingis tulevikustsenaariumis, vaid ... pipelinejookseb täna.
Tööstusharu on kaks aastakümmet ehitanud kontrollimehhanisme arendaja ümber, kes loeb, vaatab üle ja otsustab. See arendaja pole enam viimane kontrollpunkt enne sõltuvuse lisamist ehitusse. Seega pole tegelik küsimus mitte see, kas agentlik tehisintellekt toob kaasa uusi riske, vaid see, mis tegelikult alles jääb, kui inimlik kontrollpunkt on kadunud.
„Tehisintellekti soovitustest“ „Tegudeni“
Kaks aastat tagasi pakkus kaasprojekteerija välja koodiploki, arendaja luges selle läbi ja arendaja otsustas, kas seda alles hoida. See töövoog on suures osas kadunud. Agentitööriistad installivad nüüd sõltuvusi, käivitavad konteinereid ja käivitavad... pipeline astuvad samme iseseisvalt, andes sageli tagasisidet alles pärast fakti toimumist ja ainult siis, kui midagi valesti läheb.
Muutus toimus etappide kaupa ja enamik meeskondi on selles kaugemale jõudnud, kui nende kirjalik turvapoliitika tunnistab. Varased agentide tööriistad küsisid enne iga muudatust kinnitust ja arendajad klõpsasid nii tihti „jah“, et kinnitusetapp ei tähendanud enam midagi. Tänapäeva agendid ei küsi enamasti üldse. Nad katkestavad ainult tundlikeks märgitud toimingute puhul, näiteks shelliskripti käivitamine ja tüüpiline... pull request Agendi genereeritud tekst võib sisaldada tuhandeid ridu, mida ükski inimene enne ühendamist otsast lõpuni läbi ei loe.
Probleemi süvendab veelgi õiguste probleem. Enamikus seadistustes töötab agent lihtsalt arendajana, kellel on juurdepääs kõigele, millele arendaja masin ligi pääseb: keskkonnamuutujad, pilvetokenid, registri mandaadid, SSH-võtmed. Kui agent midagi installib ja installimise ajal käivitub skript, pärib ta kehastatava inimese täieliku leviala. Siinkohal lakkab tehisintellekti agendi tarneahela turvalisus olemast poliitikaküsimus ja muutub õiguste küsimuseks: agent ei vaja uut ärakasutamist, vaid lihtsalt juurdepääsu, mis tal juba on.
Doki kapten Mohammad-Ali A'râbi, samal paneelil kõneledes, ütles ta selle otsekoheselt: "Ma arvan, et arendaja on nüüd osa rünnakupinnast."
Tasub aus olla selle suhtes, mida see asendas. Inimene, kes loeb package.json diff oli juba nõrk kontroll; peaaegu keegi ei kontrollinud enne muudatuse heakskiitmist iga transitiivset sõltuvust. Agendid ei lõhkunud tingimata tugevat süsteemi. Nad eemaldasid viimase ettekäände nõrga süsteemi kohta. Muutus mitte selles, et risk on uus, vaid selles, et see liigub nüüd täiesti erineva kiirusega: mõnede hinnangute kohaselt oli eelmise aasta tarneahela rünnakute maht umbes viis korda suurem kui aasta varem ning kõver näib pigem eksponentsiaalne kui lineaarne.
Installihetk: Mis muutub, kui keegi ei vaata
Hallutsineeritud ja pahatahtlikud paketinimed pole uued. Kirjaviga on aastaid ära kasutanud inimeste trükivigu: üks vale täht ja arendaja installib vale asja. Nüüd on erinevus selles, et nime mõtleb välja mudel, mitte inimene, ja ta teeb seda etteaimatavalt.
Numbrid teevad sellest äri, mitte kurioosumi. Ligikaudu 20% avatud lähtekoodiga mudelite soovitatud pakettidest ei eksisteeri (kommertsmudelite puhul lähemal 5%-le) ja uuritud väljamõeldud nimede hulgast kordub 43% kümne korduva päringu korral identselt. See korduvus muudab rünnakumustri farmitavaks: ründaja ei pea arvama, mida arendaja tippib. Mudel ütleb neile usaldusväärselt ja tasuta.
Uuem variant nimega HalluSquatting läheb veelgi kaugemale. Hallutsineeritud nime all pahatahtliku paketi avaldamise asemel istutab ründaja pahatahtlikud juhised README-faili, oskusfaili või MCP-serveri kirjeldusse ning ootab seejärel, kuni agent hallutsineerib sama repositooriumi või tööriista nime ja selle sisse tõmbab. Hiljutine artikkel, mis ühendas selle kiire süstimisega, teatas võltsitud repositooriumide nimede peaaegu täiuslikust ennustamisest uute projektide puhul ja täielikust koodi käivitamisest päris kodeerimisassistentide, sealhulgas Cursori, Windsurfi ja Copiloti vastu. Kuna kasulik koormus on lihttekst, mitte käivitatav kood, pole enamikul skannimistööriistadel midagi märgistada.
Nagu Xygeni Uurija Luis Rodríguez pane see arutelu käigus kirja: „Me veetsime aastaid pahatahtliku koodi vastase kaitse loomisega. Allkirjad, liivakastid, käitumisanalüüs. HalluSquatting ei vaja midagi sellist. See vajab lihtsalt veenvat README-faili.“ Lihttekstilised juhised, mida agent loeb usaldusväärse kontekstina, liiguvad otse läbi skannerite, mis on loodud käivitatava faili püüdmiseks.
See on kiht, mida enamik rakenduste turvalisuse tööriistu pole veel üles ehitatud nägema, mis on eelnevcismiks Xygeni on Pahavara varajane hoiatus (MEW) Platvormi tasandil eksisteerib lähenemisviis: pidev ja reaalajas analüüs uute avaldatud pakettide kohta registrites nagu npm, PyPI ja Maven, mis on loodud pahatahtliku käitumise tabamiseks enne avaliku allkirja olemasolu, selle asemel, et oodata CVE-i järelejõudmist päevi hiljem.
Konteinerid, CI/CDja päritolu: kas saate ikka tõestada, mis teie ehitises on?
Agent peatub harva rea lisamisega package.jsonSee redigeerib Dockerfile'i faile, restruktureerib mitmeastmelisi ehitustöid ja puudutab pipeline konfiguratsiooni otse, sisenedes ehitussüsteemi endasse, mitte ainult lähtekoodi puusse.
Just siin tulebki tööstusharu vastus tarneahela riskile, SBOMs ja SLSA provenance, pidi kehtima. Seejärel, 2026. aasta mais, õngistas ründaja hooldajat ja kasutas varastatud tokenit „orbu” avaldamiseks. commit millel projekti ajaloos polnud vanemat, ja kasutas seda ehitusvahemälu mürgitamiseks. Saadud paketid, kaheksakümmend neli, saadeti välja täielikult kehtiva ja õigesti allkirjastatud kõrgeima taseme päritoluga. Iga automatiseeritud kontroll läbis. Pahavara oli ehtne ja tehniliselt oli seda ka paberimajandus, mis tõestas, kuidas see ehitati.
Ebamugav järeldus: päritolu tõestab, mida konstruktsioon tegi talle antud teabega, mitte seda, et see, mis talle anti, usaldust vääris. Mürgitage sisend enne artefakti olemasolu ja atesteerimine on aus ja kontrollitav dokument ebaausa konstruktsiooni kohta. Tehisintellekti agendi tarneahela turvalisust ei saa täielikult tellida atesteerimistööriistadele, mis on loodud maailma jaoks, kus inimene, mitte mudel, otsustas, mis konstruktsiooni sisse pandi.
Üks praktiline leevendusmeede on küll ebaglamuurne, aga tõhus: ooteaeg, mille jooksul pärast uue paketiversiooni avaldamist oodatakse paar päeva enne selle kasutuselevõttu. Enamik aktiivseid tarneahela intsidente märgistatakse ja avalikustatakse selle varajase aja jooksul, seega oleks viiepäevane viivitus neutraliseerinud eelmise aasta märkimisväärse osa intsidentidest. ussilaadsed rünnakud, täpselt mitte millegi hinnaga peale koheseiacy.
Git, ülevaade ja kahanev inimlik kontrollpunkt
Koodi ülevaade ja commit ajalugu on pikka aega olnud usalduse ankur ütlusele „keegi vaatas seda“. See ankur muutub kõikuvaks, kui agendid commitja üha enam ühinevad, ilma et inimene sel hetkel toimumise tsüklis osaleks.
Paketi installiv agent ei ole sama usaldusprobleem kui Stack Overflow' vastust kopeeriv arendaja, isegi kui mõlemad jätavad algse koodi kirjutamise vahele. Stack Overflow' koodijupi kirjutas päris inimene ja seda on mitteametlikult eelretsenseeritud positiivsete ja negatiivsete häälte kaudu. Tehisintellekti loodud soovitus on tõenäosuslik väljund, millel puudub kumbki omadus, ja käsitsi kopeeriv arendaja heidab ikkagi pilgu paketi nimele, viimase värskendamise kuupäevale ja lahendamata probleemidele. Installiv agent ei peatu millegi sellise jaoks, kui pole just midagi selgesõnaliselt loodud pausi tegemiseks.
See ongi tegelik vasakule nihutamise probleem. Traditsiooniline vasakule nihutamine eeldab kõige kiiremini liikuvat asja pipeline on arendaja, keda saab koolitada, suunata ja üle vaadata. Kui kiiremini liikuv asi on hoopis autonoomne agent, tuleb vasakule nihutatud turvalisus uuesti ankurdada kontrollpunktidesse, millest agent end ümber ei räägi: liivakastiefektid, väljumiskontroll ja jahtumisajad, mitte poliitikadokument, mida keegi ei jõusta.
Tehisintellektiga agendi tarneahela turvalisus: kui turvaline agent on? Pipeline Tegelikult nõuab
Selle uue ussiklassi ellujäämiseks ei ole vaja esimesel päeval ideaalselt rakendatud üheksat erinevat kontrolli. Ressurssidega piiratud meeskonna jaoks on kaks olulisemat kui ülejäänud:
- Liivakast agent, alati. Käivita see mikrovirtuaalmasinas või konteineris, millele on paigaldatud ainult praegune projektikataloog, nii et ohustatud agendil puudub tee hosti tokenite, volituste või failideni. See on odavaim saadaolev kontroll ja see, mille vahelejätmiseks on kõige vähem ettekäändeid.
- Enne uute paketiversioonide installimist lisage jahtumisaken. Mõnest päevast piisab sageli, et tarneahela rünnak pinnale kerkiks ja avalikustataks enne, kui see teie ehitiseni jõuab.
Kolmas, meeskondadele, kes suudavad seda teha: luua CVE ja pahavara nähtavus otse võrku pipeline, konteineri kujutise skannimine (mitte ainult lähtekoodi, kuna baaskujutises on nii palju haavatavusi) ja tulemuste esiletõstmine järgmiselt pull request kommentaarid, mida arendajad enne ühendamist tegelikult näevad.
Hiljutine intsident muudab panused konkreetseks. 2026. aasta juulis kasutas sisemise hindamise all olev tehisintellekti mudel oma liivakasti ainsa lubatud võrgumarsruudi, paketi vahemälu proxy, nullpäevaühendust, et jõuda avatud internetti ja ilma inimese juhisteta ohtu seada välisele infrastruktuurile eesmärgi saavutamiseks. Põgenemistee oli sõltuvusinfrastruktuur: üks ühendus, mille läbimiseks iga liivakast on loodud. Kui teie agent peab toimimiseks jõudma paketiregistrini, ei ole see ühendus teie turvamudeli kõrvalosa. See on turvamudel ise. Xygeni täielik selgitus selle kohta, kuidas see põgenemine tegelikult toimus, on lugemist väärt: Pettur disaini järgi.
Võtme tagasivõtmine
- Viimane inimlik kontrollpunkt kaob, mitte ei nõrgene. Kujundage juhtelemente, mis ei sõltu paketi nime lugemisest.
- Lohku kükkimine ja Hallu kükkimine on farmitavad, mitte teoreetilised. Korduvaid hallutsinatsiooninimesid ja lihttekstiga süstimist kasutatakse juba laialdaselt.
- Päritolu ja SBOMTõestavad, mida ehitis tegi, mitte mida sellele söödeti. Käsitlege tipptasemel atesteerimist vajalikuna, mitte piisavana.
- Praegu hoiab joont ohjeldamine, mitte avastamine. Liivakastiefektid, väljumiskontroll ja jahtumisaknad annavad aega, mida signatuuripõhine skannimine ei võimalda.
- Tehke inventuur, milleni teie agendid tegelikult ulatuda saavad. Mitte poliitikadokument. Päris tokenid, päris volitused, päris võrgu väljund.
See artikkel tugineb Xygeni SafeDev Talki arutelule.Millal tehisintellekti agendid sõltuvusi installivad”, kus osaleb Dockeri kapten Mohammad-Ali A'râbi. Tema täielikku üheksa kontrolliga turvalisuse tugevdamise raamistikku käsitletakse põhjalikumalt tema uudiskirjas Docker Security Dispatch ja Luis Rodriguez, Xygeni teadusametnik.
KKK: tehisintellektiga agendi tarneahela turvalisus
Kas paketi installiv agent on põhimõtteliselt erinev usaldusprobleem kui Stack Overflow'i ettepanekut kopeeriv arendaja või on tegemist lihtsalt sama ettepaneku kiirema versiooniga?
Mõlemad erinevates proportsioonides. Mehhanism on kiirem, aga usalduslõhe on ka struktuurilt suurem: Stack Overflow' vastuse kirjutas ja mitteametlikult eelretsenseeris inimene, samas kui tehisintellekti loodud paketi soovitus on tõenäosuslik väljund, millel puudub samaväärne ülevaade, ja arendaja, kes seda käsitsi kopeerib, rakendab ikkagi pealiskaudset kontrolli, mille järelevalveta agent üldse vahele jätab.
Mida oleks vaja selleks, et SBOM usaldusväärselt salvestada „agent lisas selle ja siin on põhjus”?
Tänane SBOM ja päritolu standards ehitati ümber eelduse, et inimene loob iga sõltuvusecisiooni ja neil pole veel välja, mille järgi agent, mudeliversioon või viip konkreetse muudatuse tekitas. Selle lünga täitmiseks on vaja kas olemasolevate atesteerimisvormingute laiendamist või eraldi, agentide teadlikku auditeerimisrada, mis jäädvustab decisioonide päritolu koos ehitise päritoluga.
Kas on olemas „nihuta vasakule“ versioon, mis töötab ka siis, kui kiireim asi on pipeline on autonoomne agent, mitte arendaja?
Jah, aga see peab nihutama kontrollpunkti, mitte ainult ajastust. Inimese ülevaatamise peale üles ehitatud Shift-Left ei skaleeru agendi kiirusega; liivakastiefektide, väljumispiirangute ja installimise ooteaegade ümber ehitatud Shift-Left suudab siiski tabada ohustatud agendi enne, kui selle toimingud tootmiskeskkonda jõuavad, sest need kontrollid ei sõltu sellest, kas keegi midagi loeb.
