Viimastel aastatel on rakenduste turvalisusel olnud selge piir: repositoorium ja pipelineSeal asusid juhtelemendid, kus skaneeringud käitati ja kus meeskonnad otsustasid, kas midagi tootmisse saadetakse. Kõik põhines ühel eeldusel: arendaja valis selgesõnaliselt, milline kood ja millised sõltuvused süsteemi sisenesid.
See eeldus enam ei kehti. Üha suurema osa koodist kirjutab, soovitab või installib tänapäeval tehisintellekti agent, sageli ilma et keegi vaataks sissetoodava koodi nime. Kui decisKoos koodi sisestatud osaga liigub ka rünnak. See liigub protsessi kõige etteotsa: hetkel, mil kood luuakse, assistendi enda sisse ja seda konfigureerivatesse failidesse.
See on teie tehisintellekti rünnakupind: iga mudel, agent, MCP-server, oskus ja tehisintellekti soovitatud sõltuvus, mis saab nüüd riski tekitada enne, kui inimene seda üle vaatab. Sama tehisintellekt, mida teie arendajad usaldavad, on nüüd selle osa. See ei ole tulevikurisk. See on nihe, mis on juba toimunud, ja praktikas näeb see välja selline.
Rünnakulaine, mitte üksikjuhtum
Ükski järgmistest ei ole laboriharjutuscise või hüpoteetiline. Need on avalikud, dokumenteeritud juhtumid, peaaegu kõik viimase aasta jooksul ja igaüks neist on tehisintellekti agendile endale veidi lähemal:
- August 2025, s1ngulaarsus: Ründajad varastasid avaldamistokeni Nx-ist, mis on üks enimkasutatavaid ehitussüsteeme, ja lükkasid pahatahtlikud versioonid npm-i, kasutades tehisintellekti tööriistu arendajate masinates saladuste otsimiseks.
- September 2025, kriit/silumine: Üks npm-i suurimaid reach-kompromiteeringuid, 18 paketti enam kui kahe miljardi nädalase allalaadimisega, mis võeti üle ühe hooldaja konto kaaperdamise kaudu.
- September 2025, Shai-Hulud: üks esimesi dokumenteeritud usse, mis suutis npm-i kaudu ise paljuneda. Selle teine laine novembris oli agressiivsem ja seotud saladustega, mis olid avalikustatud enam kui 25 000 repositooriumis.
- Oktoober 2025, kasutamata import: osa PhantomRaveni kampaaniast, kus tehisintellekti hallutsinatsioonid tõid npm-i päris pahavara lohaka kükitamise tehnika abil.
- Sel aastal ClawHub: mürgitatud tehisintellekti oskuste register, kus seitsmest enim allalaaditud oskusest viis olid pahavara.
Tööstusharu on sama järeldust vormistamas. OWASP Top 10 LLM rakenduste jaoks seab kiire süstimise esikohale. OWASP MCP Top 10 (praegu beetaversioonis) on suunatud protokollidele, mida agendid kasutavad tööriistadega suhtlemiseks. OWASP Agenc Skills Top 10, uus inkubaatori etapi projekt, nimetab pahatahtlikke oskusi oma peamiseks riskiks. OWASP tegutseb tavaliselt ettevaatlikult; kolme rinde korraga avamine, millest üks on kiireloomuline, ütleb midagi selle kohta, kui kiiresti see liigub.
Kõik kolm koonduvad sama idee juurde: mudeli ümber olevad juhised, tööriistad ja konfiguratsioonid on nüüd osa tehisintellekti rünnakupinnast ning asuvad tavaliselt teie enda repositooriumis. See tõstatab esimese küsimuse, mida tasub oma meeskondadele esitada: kes vaatab üle teie repositooriumis asuvad reeglifailid, oskused ja MCP konfiguratsioonid?
Vektor 1: mürgitatud oskus
Oskus on juhiste ja võimete fail, mis õpetab tehisintellekti agendile, kuidas ülesannet täita. See pole ainus viis agendi käitumise kujundamiseks (reeglite failid, hooksja MCP konfiguratsioonid teevad sama), kuid neil kõigil on üks ühine omadus: nad liiguvad repositooriumi sees koos koodiga.
Selle aasta uuringus vaadeldi 4,000 neist oskustest:
- 36%-l oli vähemalt üks turvaauk.
- 13.4% olid kriitilises seisus.
- Ligi 100-l oli otsekoheselt pahatahtlikku lasti.
Põhiline nihe: ründaja ei sihi enam teie koodi. Nad sihivad agenti, kes teie koodi kirjutab, paigutades sinna peidetud juhiseid (mõnikord nähtamatuid märke kasutades), mida mudel loeb ja käsitleb toimivatena. Inimene kiidab need heaks. pull request heas usus, sest nende silmis näeb fail puhas välja. Mudel tõlgendab juhiseid, mida retsensent pole kunagi näinud.
See pole teoreetiline. CVE-2025-59536 (CVSS 8.7) lubas käivitada Claude'i koodi ebausaldusväärsest hoidlast, kus pahatahtlik konfiguratsioon sai käske käivitada enne, kui kasutaja usaldusdialoogi aktsepteeris. Teine haavatavus, CVE-2026-21852, lubas API-võtme väljavoolu projektipõhise konfiguratsiooni kaudu ilma, et kasutaja oleks midagi heaks kiitnud.
H2: Vektor 2: kaldkükitamine
Nimi ühendab sõna „rämps” (rämps, mida tehisintellekt mõnikord genereerib) klassikalise trükiviga rünnakuga. Tüpiviga põhineb inimlikul eksimusel: ründaja registreerib paketinime, mis on lähedase populaarsele nimele, ja ootab trükiviga. See on juhuslik.
Loksutamine ei oota viga. Selle sessiooni käigus viidatud uuringus 19.7% tehisintellekti mudelite loodud paketiviidetest viitasid pakettidele, mida pole olemas. Mudelid kipuvad samu nimesid korduvalt hallutsineerima, seega jälgib ründaja, milliseid nimesid tehisintellekt välja mõtleb, registreerib need nimed pahatahtliku koodiga ja ootab järgmist tehisintellekti soovitatud installi, et see teie rakendusse tõmmata.
Skaala pole väike: 2025. aastal tuvastati üle 450 000 uue pahatahtliku paketi. Kaks näidet teevad asja konkreetsemaks:
- Teadlane pani putukavõrku kahjutu testipaki nimega kallistavnägu-klikk et seda punkti tõestada. See logis sisse kolme kuuga üle 30 000 allalaadimise.
- kasutamata import, ülaltoodud ajajoonelt, oli kinnitust leidnud pahavara, mis asub avalikus registris ja kasutab täpselt sama tehnikat. See polnud test.
Küsimus pole selles, kas see võib teie meeskonnaga juhtuda, vaid selles, kui palju tehisintellekti soovitatud pakette sisestatakse täna teie koodi ilma, et keegi neid vaataks.
Vastus: standardjõuavad järele
Kaks jõudu liiguvad paralleelselt. Samal ajal kui rünnakud kiirenevad, standardKehad reageerivad:
- NIST SP 800-218A laiendab turvalise tarkvaraarenduse raamistikku tehisintellekti mudelitele omaste tavadega, sealhulgas terviklikkuse ja päritolu tõendamisega.
- In Mai 2026, CISA ja selle rahvusvahelised G7 partnerid avaldas juhised tehisintellekti tarkvaramaterjalide loendi kohta, milles määratleti, mis sellesse inventuuri kuulub: mudelid, andmekogumid, komponendid, pakkujad ja sõltuvused.
Suund on selge: SBOM laieneb tehisintellektiga BOM-iks. Sa ei saa sertifitseerida ega kinnitada seda, mida sa ei saa inventuurida. Ja tänapäeval ei saa enamik organisatsioone:
- 43% ei saa auditeerida ega inventuuri teha tehisintellekti tööriistu, mida nad juba kasutavad.
- 79% puudub ülevaade oma keskkonnas töötavate tehisintellekti agentide ja MCP-süsteemide kohta.
Reguleeritud keskkondades on see inventuur liikumas heast tavadest lepingulise ootuse või vastavuskohustuse poole. Kuid inventuur näitab ainult seda, mis teil on. See iseenesest rünnakut ei blokeeri.
Lünk: EDR rakenduste turvalisuse jaoks
SAST ja SCA Tööriistad on loodud koodi ja sõltuvuste analüüsimiseks, mitte agendi käitumise või selle konfiguratsiooni analüüsimiseks. EDR näeb protsesse ja võrguühendusi, kuid tavaliselt puudub sellel rakenduse turvalisuse kontekst sõltuvuse või agendi konfiguratsiooni tõlgendamiseks. Nende kahe tööriistakategooria vahel on tühimik – täpselt see, kus praegu koodi luuakse ja kus asub tehisintellekti rünnakupind.
Sellel lüngal on kolm pimeala:
- Tehisintellekti varad. Mudelid, agendid ja MCP-serverid ei kuvata teie SASTvõi SCA'i radar. Sa ei saa inventuurida seda, mida sa ei näe.
- Konfiguratsioonifailid. Oskused, reeglid ja MCP konfiguratsioonid kujundavad agendi käitumist, kuid tavaliselt vaadatakse neid üle nii, nagu oleksid need ohutud lihttekstid.
- Pakettide installid. A pahatahtlik sõltuvus saab käivituda enne, kui see pahatahtlikuks osutub, seejärel filtreerida saladusi ja märke ilma kellegi heakskiiduta.
Kuidas Xygeni selle sulgeb
Mida EDR teeb lõpp-punktide jaoks, Xygeni Shield sobib tehisintellektiga toetatud arendustsükli jaoks: see kaitseb koodi loomise kohta, mõistes samal ajal rakenduse turvalisuse konteksti.
- Nähtavus kus SAST ja SCA ära ulatu. Xygeni märgistab pahatahtlikud oskuste ja reeglite failid, analüüsib MCP konfiguratsioone ja loob auditivalmis keskkonna. AI-BOM, kaardistatud OWASP LLM, MCP ja agentide oskuste esikümnesse.
- Mitte ainult allkirjad, vaid ka luureandmed. MEW (pahavara varajane hoiatus) analüüsib paketi käitumist ja riski, et see enne CVE, teate või avaliku allkirja olemasolu blokeerida. Ajakohased võrguandmed katkestavad ühendused teadaolevalt pahatahtliku infrastruktuuriga.
- Üks kontrollpunkt koodist lõpp-punktini. Üks agent, mis juurutatakse keskkonda ümber kujundamata ning millel on sisseehitatud Euroopa andmesuveräänsus ja vastavustõendid.
Reaalajas demonstratsioonis blokeeris see poliitika jõustamine tehisintellekti agendi katse installida pahatahtlikku paketti kolme erineva installitee kaudu (virtuaalne keskkond, paketihaldur ja otsene allalaadimine) enne installimise lõppu, kõik logiti reaalajas ja seda sai eksportida SOC-i. Esimese projekti kasutuselevõtt võtab tavaliselt umbes tunni; katvuse laiendamine kogu organisatsioonile võtab tavaliselt üks kuni kaks nädalat, olenevalt struktuurist.
KKK
Milline on tehisintellekti rünnakupind ühes lõigus?
Tehisintellekti rünnakupind on mudelite, agentide, MCP-serverite, oskuste, reeglifailide ja tehisintellekti soovitatud sõltuvuste kogum, mille kaudu risk saab rakendusse siseneda, sageli enne, kui inimene selle üle vaatab. See ulatub traditsioonilisest koodist ja sõltuvustest kaugemale, hõlmates konfiguratsioonifaile ja juhiseid, mis kujundavad tehisintellekti agendi käitumist.
Kuidas ma saan aru, kas minu tehisintellekti assistendi pakutud paketinimi on hallutsinatsioon või lihtsalt õige, aga võõras?
Valideeri enne installimist: kontrolli registrit ja analüüsi paketi tegelikku sisu ja eesmärki, selle asemel et usaldada ainult nime. Xygeni automatiseerib selle valideerimise reaalajas koodi genereerimise ajal, seega install kiidetakse heaks või blokeeritakse enne selle käivitamist, olenemata sellest, kas pakett on teile tuttav või mitte.
Kas lohakus kükitamine mõjutab kõiki tehisintellekti mudeleid võrdselt?
19.7% näitaja aluseks olev uuring hõlmas mitut mudelit ja leidis, et probleem on laialt levinud, nende vahel on vaid väikesed erinevused. See on tehisintellektiga toetatud arenduses esinev muster, mitte ühe assistendi spetsiifiline viga.
Kas me saame tagantjärele kontrollida, kas oleme juba hallutsinatsioonidega seotud või pahatahtliku paketi installinud?
Jah. Xygeni platvorm annab klientidele juurdepääsu tuvastatud pahatahtlike pakettide andmebaasile, mida saab otsida teie olemasoleva komponentide inventuuri põhjal, nii et saate paari klõpsuga kinnitada, kas mõni juba installitud pakett on teadaolev oht.
Kui kaua võtab juurutamine keskmise suurusega organisatsioonil, kus on mitu meeskonda?
Esimese projekti sisseelamine võtab tavaliselt umbes tunni. Kogu organisatsiooni hõlmav projekti laiendamine võtab tavaliselt üks kuni kaks nädalat, olenevalt meeskonna struktuurist ja töömeetoditest.
Kaardista oma tehisintellekti rünnakupind tasuta
Kaardista oma rakenduse tehisintellekti jalajälg tasuta: loo konto ja käivitage esimene skannimine minutitegaAlusta ühest rakendusest, vaata, milline tehisintellekt selle sees on ja milline osa sinu tehisintellekti rünnakupinnast on ohtlik.
*Mõned eespool mainitud võimalused on jõustatud Xygeni Shieldi ja selle kaudu. ASPM/AI turvamoodulid; saadavus võib olenevalt paketist erineda. Vaata xygeni.io praeguse toote üksikasjade saamiseks.
