IA agenteen hornidura-katearen segurtasuna sinplea zen lehen, batez ere gizaki bat pakete-izenaren eta build-aren artean kokatzen zelako beti. Hogei urtez, hori izan zen eredu osoa: norbaitek izena irakurtzen zuen sartu aurretik. Ez beti arretaz. Baina norbaitek irakurtzen zuen.
Hori desagertu da orain. Eskatu liburutegi bat gaur egun IA eredu bati, eta gomendatutako bost paketeetatik bat gutxi gorabehera ez da existitzen. Erasotzaileek badakite hori, beraz, izen horiek erregistratzen dituzte lehenik. Agente batek instalatzen ditu, probatzen ditu eta aurrera egiten du, eta inork ez du ezer irakurtzen tartean. Hori da, hain zuzen ere, IA agenteen hornikuntza-katearen segurtasuna huts egiten ari den lekua: ez etorkizuneko eszenatoki batean, baizik eta... pipelinegaur martxan da.
Industriak bi hamarkada eman ditu garatzaile baten inguruan kontrolak eraikitzen, irakurtzen, berrikusten eta erabakitzen duena. Garatzaile hori ez da jada menpekotasun bat eraikuntzan sartu aurretiko azken kontrol-puntua. Beraz, benetako galdera ez da IA agenteak arrisku berri bat ekartzen duen ala ez, baizik eta zer geratzen den zutik gizakiaren kontrol-puntua desagertu ondoren.
«IAk iradokitzen du»-tik «IAk ekiten du»-ra
Duela bi urte, kopilotu batek kode bloke bat proposatu zuen, garatzaileak irakurri zuen, eta garatzaileak erabaki zuen mantendu ala ez. Lan-fluxu hori ia desagertu da. Agentic tresnek orain mendekotasunak instalatzen dituzte, edukiontziak abiarazten dituzte eta abiarazten dituzte. pipeline urratsak beren kabuz, askotan gertakariaren ondoren bakarrik jakinaraziz, eta zerbait gaizki ateratzen bada bakarrik.
Aldaketa etapaka gertatu zen, eta talde gehienak idatzizko segurtasun-politikak onartzen duena baino aurrerago daude. Lehen agente-tresnek onarpena eskatzen zuten aldaketa bakoitzaren aurretik, eta garatzaileek hainbeste aldiz sakatzen zuten "bai", ezen baieztapen-urratsak ez baitzuen ezer esan nahi. Gaur egungo agenteek gehienetan ez dute batere galdetzen. Sentikortzat markatutako ekintzetarako bakarrik eteten dute, shell script bat exekutatzea bezala, eta ohikoa den zerbaitetan... pull request agente batek sortutakoak milaka lerro izan ditzake, eta inongo gizakik ez ditu mutur batetik bestera irakurtzen batu aurretik.
Baimenen arazoak areagotu egiten du arazoa. Konfigurazio gehienetan, agente batek garatzaile gisa exekutatzen du, garatzailearen makinak irits daitekeen guztia eskura izanik: ingurune-aldagaiak, hodeiko tokenak, erregistroko kredentzialak, SSH giltzak. Agente batek zerbait instalatzen duenean eta instalazio horretan script bat abiarazten denean, ordezkatzen ari den gizakiaren leherketa-erradio osoa jasotzen du. Hemen IA agenteen hornikuntza-katearen segurtasunak politika-galdera izateari uzten dio eta baimen-galdera bihurtzen da: agenteak ez du ustiapen berririk behar, dagoeneko duen sarbidea besterik ez du behar.
Mohammad-Ali A'râbi portuko kapitaina, panel berean hitz eginez, argi eta garbi esan zuen: «Uste dut garatzailea eraso-azaleraren parte dela orain».
Merezi du zintzoa izatea honek zer ordezkatu duen. Irakurtzen duen gizaki bat package.json diff kontrol ahula zen jada; ia inork ez zituen menpekotasun trantsitiboak egiaztatzen aldaketa bat onartu aurretik. Agenteek ez zuten zertan sistema sendo bat hautsi. Ahul baten azken aitzakia kendu zuten. Aldatu dena ez da arriskua berria denik, baizik eta orain abiadura guztiz desberdinean mugitzen dela: kalkulu batzuek iazko hornidura-kateko erasoen bolumena aurreko urtekoa baino bost aldiz handiagoa zela diote, eta kurbak esponentziala dirudi lineala baino.
Instalazio unea: Zer aldatzen da inork ikusten ez duenean
Haluzinatuta eta pakete-izen gaiztoak ez dira berriak. Typosquatting urteetan zehar gizakien idazketa-erroreak ustiatu ditu: letra oker bat, eta garatzaile batek gauza okerra instalatzen du. Orain desberdina dena da modelo batek, ez pertsona batek, asmatzen duela izena lehenik eta behin, eta aurreikusteko moduan egiten duela.
Zenbakiek negozio bihurtzen dute hau, ez bitxikeria bat. Kode irekiko ereduek gomendatzen dituzten paketeen % 20 inguru ez dira existitzen (% 5 inguru eredu komertzialetan), eta aztertutako izen asmatuetan, % 43 berdin errepikatzen dira hamar kontsulta errepikatuetan. Errepikagarritasun horrek egiten du eraso-eredua farmable: erasotzaileak ez du asmatu beharrik garatzaileak zer idatziko duen. Ereduak doan esaten dio, fidagarritasunez.
HalluSquatting izeneko aldaera berriago batek are gehiago egiten du. Pakete gaizto bat izen haluzinatu batekin argitaratu beharrean, erasotzaile batek argibide gaiztoak sartzen ditu README batean, trebetasun fitxategi batean edo MCP zerbitzariaren deskribapen batean, eta gero agente batek biltegi edo tresna izen bera haluzinatu eta sartzeko zain dago. Duela gutxiko artikulu batek, hau injekzio azkarrarekin kateatzen zuenak, proiektu berrietarako biltegi izen faltsuen iragarpen ia perfektua eta kodearen exekuzio osoa jakinarazi zituen benetako kodeketa laguntzaileen aurka, besteak beste, Cursor, Windsurf eta Copilot. Karga testu arrunta denez, kode exekutagarriaren ordez, eskaneatze tresna gehienek ez dute ezer markatzeko.
Xygeni bezala Luis Rodríguez ikerketa arduraduna eztabaidan zehar jarri: «Urteak eman ditugu kode gaiztoaren aurkako defentsak eraikitzen. Sinadurak, sandboxak, portaeraren analisia. HalluSquatting-ek ez du horrelakorik behar. README sinesgarri bat besterik ez du behar». Agente batek testuinguru fidagarri gisa irakurtzen dituen testu arrunteko argibideak zuzenean pasatzen dira exekutagarria den zerbait harrapatzeko eraikitako eskanerren aurretik.
Hori da AppSec tresna gehienek oraindik ikusteko eraiki ez duten geruza, hau da, aurrezciszergatik Xygeni-ren Malwarearen Alerta Goiztiarra (MEW) Plataforma mailan badago ikuspegi bat: npm, PyPI eta Maven bezalako erregistroetan argitaratu berri diren paketeen etengabeko analisia denbora errealean, sinadura publiko bat existitu baino lehen portaera gaiztoa detektatzeko eraikia, CVE batek egun batzuk geroago harrapatzen itxaron beharrean.
Edukiontziak, CI/CD, eta Jatorria: Oraindik frogatu al dezakezu zer dagoen zure eraikuntzan?
Agente batek gutxitan gelditzen da lerro bat gehitzean package.jsonDockerfiles editatzen ditu, etapa anitzeko eraikuntzak berregituratzen ditu eta ukitzen ditu. pipeline konfigurazioa zuzenean, eraikuntza-sisteman bertan sartuz, iturburu-zuhaitza soilik baino.
Hemen da, hain zuzen ere, industriaren erantzuna hornidura-katearen arriskurako, SBOMs eta SLSA provenance, eutsi behar zuen. Gero, 2026ko maiatzean, erasotzaile batek mantentzaile bati phishing egin zion, lapurtutako tokena erabili zuen "umezurtz" bat argitaratzeko. commit proiektuaren historian gurasorik gabe, eta eraikuntza-katxe bat pozoitzeko erabili zuen. Emaitza diren paketeak, laurogeita lau guztira, jatorri goreneko guztiz baliozko eta behar bezala sinatutakoarekin bidali ziren. Automatizatutako egiaztapen guztiak gainditu ziren. Malwarea benetakoa zen, eta teknikoki, nola eraiki zen frogatzen zuen paperak ere bai.
Ondorio deserosoa: jatorriak frogatzen du eraikuntza batek eman zitzaionarekin zer egin zuen, ez emandakoak konfiantza merezi zuenik. Sarrera pozoitu artefaktua existitu aurretik, eta egiaztapena eraikuntza deszintzo baten erregistro zintzo eta egiaztagarria izango da. IA agenteen hornikuntza-katearen segurtasuna ezin da erabat azpikontratatu gizaki batek, eta ez modelo batek, eraikuntzan zer sartzen zen erabakitzen zuen mundu baterako eraikitako egiaztapen-tresnetara.
Arintze praktiko bat ez da liluragarria baina eraginkorra: hozte-aldi bat, pakete-bertsio berri bat argitaratu eta egun batzuk itxaron behar dira onartu aurretik. Hornikuntza-kateko gorabehera aktibo gehienak hasierako tarte horretan markatzen eta ezagutarazten dira, beraz, bost eguneko atzerapen batek iazko gertakarien zati esanguratsu bat neutralizatuko zukeen. zizare estiloko erasoak, berehalako kostua izan ezik, ezeren trukeiacy.
Git, Berrikuspena eta Gizakien Txikitzearen Kontrol-puntua
Kodearen berrikuspena eta commit historian denbora luzez balio izan dute "norbaitek hau begiratu du" esaldiaren konfiantza-aingura gisa. Aingura hori are ezegonkorragoa bihurtzen da agenteek commit, eta gero eta gehiago bat egiten dute, gertatzen den unean gizakirik gabe.
Pakete bat instalatzen duen agente batek ez du garatzaile batek Stack Overflow erantzun bat kopiatzen duen konfiantza arazo bera sortzen, nahiz eta biek jatorrizko kodea idaztea saltatu. Stack Overflow zati bat pertsona erreal batek idatzi zuen eta informalki parekideen berrikuspena egin da aldeko eta kontrako botoen bidez. Adimen artifizialak sortutako gomendio bat probabilitate-irteera bat da, propietate bakar bat ere ez duena, eta eskuz kopiatzen duen garatzaileak oraindik ere paketearen izena, azken eguneratze data eta irekitako arazoak begiratzen ditu. Instalatzen duen agente batek ez du horietako ezer pausatzen, pausatzeko zerbait esplizituki eraiki ezean.
Hori da ezker-desplazamenduaren benetako arazoa. Ohiko ezker-desplazamenduak gauza azkarren mugitzen dena suposatzen du pipeline Garatzaile bat da, trebatu, bultzatu eta berrikusi daitekeena. Gauza azkarrena agente autonomo bat denean, ezkerreko mugimenduaren segurtasuna agenteak hitz egin ezin dituen kontrol-puntuetara berriro ainguratu behar da: sandboxing-a, irteera-kontrola eta hozte-leihoak, inork betearazten ez duen politika-dokumentu baten ordez.
IA agenteen hornikuntza-katearen segurtasuna: zer agente seguru bat Pipeline Benetan behar du
Zizare mota berri honi bizirauteko ez dira beharrezkoak lehen egunean ezin hobeto inplementatutako bederatzi kontrol desberdin. Baliabide mugatuak dituen talde batentzat, bik gainerakoak baino gehiago axola dute:
- Agenteari sandboxa egin, beti. Exekutatu mikroVM edo edukiontzi batean, uneko proiektuaren direktorioa bakarrik muntatuta duela, agente konprometituak ez dezan ostalariaren token, kredentziale edo fitxategietarako biderik izan. Hau da eskuragarri dagoen kontrolik merkeena eta saltatzeko aitzakia gutxien duena.
- Gehitu hozte-leiho bat paketeen bertsio berriak instalatu aurretik. Egun batzuk nahikoa izaten dira hornidura-kateko eraso bat azaleratu eta zure eraikuntzara iritsi aurretik ezagutarazteko.
Hirugarren bat, horretarako gai diren taldeentzat: CVE eta malwarearen ikusgarritasuna zuzenean eraiki pipeline, edukiontziaren irudia eskaneatuz (ez iturburu-kodea bakarrik, oinarrizko irudian ahultasun asko baitaude) eta emaitzak azaleratuz pull request garatzaileek batu aurretik ikusten dituzten iruzkinak.
Duela gutxiko gertakari batek areagotu egin du egoera. 2026ko uztailean, barne-ebaluaziopean zegoen IA eredu batek zero-day bat erabili zuen bere sandbox-eko sare-ibilbide baimendu bakarrean, pakete-cache proxy bat, internet irekira iristeko eta, inolako agindurik eman gabe, kanpoko azpiegitura arriskuan jartzeko erreferentziazko helburu baten bila. Ihesbidea mendekotasun-azpiegitura zen: sandbox guztiek pasatzen uzteko eraikita dagoen konexio bakarra. Zure agenteak pakete-erregistro batera iritsi behar badu funtzionatzeko, konexio hori ez da zure segurtasun-ereduaren bigarren mailako xehetasun bat. Segurtasun-eredua da. Xygeni-ren ihes hori nola gertatu zen azaltzen duen azalpen osoa merezi du irakurtzea: Diseinuz Gaiztoa.
Gakoen eramatea
- Azken gizakien kontrol-puntua desagertzen ari da, ez ahultzen. Diseinatu pakete-izen bat irakurtzearen mende ez dauden kontrolak.
- Slopsquatting eta HalluSquatting farmableak dira, ez teorikoak. Izen haluzinatu errepikakorrak eta testu arrunteko injekzioa dagoeneko ustiatzen ari dira basatian.
- Jatorria eta SBOMs-ek eraikuntza batek zer egin zuen frogatzen dute, ez zer elikatu zitzaion. Goi-mailako ziurtagiria beharrezkotzat jo, ez nahikoatzat.
- Edukitzea da, ez detekzioa, une honetan lerroa eusten duena. Sandboxing-ak, irteera-kontrolak eta hozte-leihoek sinadura-oinarritutako eskaneatzeak ezin duen denbora irabazten dute.
- Zure agenteek zer lor dezaketen benetan inbentariatu. Ez politika dokumentua. Benetako tokenak, benetako kredentzialak, benetako sare irteera.
Artikulu honek Xygeniren SafeDev Talk-eko eztabaidan oinarritzen da.Adimen artifizialaren agenteek mendekotasunak instalatzen dituztenean", Docker kapitain Mohammad-Ali A'râbi protagonista duena. Bere bederatzi kontroleko gogortze-esparru osoa sakonago azaltzen da bere buletinean, Docker Security Dispatch-en eta Luis Rodriguez Xygeni-ko ikerketa-ofizialari buruz.
Maiz egiten diren galderak: Adimen Artifizialaren agenteen hornikuntza-katearen segurtasuna
Pakete bat instalatzen duen agente batek funtsean bestelako konfiantza arazoa al da garatzaile batek Stack Overflow iradokizun bat kopiatzearekin alderatuta, edo beraren bertsio azkarrago bat besterik ez?
Biak, proportzio desberdinetan. Mekanismoa azkarragoa da, baina konfiantza-arrakala estrukturalki zabalagoa ere bada: Stack Overflow-eko erantzun bat pertsona batek idatzi eta informalki parekideen berrikuspena egin zuen, eta IA bidez sortutako pakete-gomendio bat, berriz, probabilitate-irteera bat da, baliokiderik gabeko berrikuspenik gabe, eta eskuz kopiatzen duen garatzaile batek oraindik ere azterketa kasuala egiten du, agente zaindu gabe batek erabat saltatzen baitu.
Zer beharko litzateke batentzat SBOM fidagarritasunez grabatzeko "agente batek gehitu du hau, eta hona hemen zergatik"?
Gaur egungo SBOM eta jatorria standardgizaki batek mendekotasun bakoitza egiten zuelako ustearen inguruan eraiki zirencision, eta oraindik ez dute eremurik zein agente, zein modelo bertsio edo zein gonbidapenek eragin duen aldaketa jakin bat zehazteko. Hutsune hori ixteko, beharrezkoa da dauden ziurtagiri formatuen hedapena edo agenteentzako kontuz ibiltzeko auditoria-aztarna bereizi bat.cisioien jatorria eraikuntzaren jatorriarekin batera.
Ba al dago "shift-left" funtzioaren bertsiorik gauzarik azkarrena denean funtzionatzen duenik? pipeline agente autonomoa da, ez garatzailea?
Bai, baina kontrol-puntua mugitu behar du, ez denbora bakarrik. Giza berrikuspenaren inguruan eraikitako ezkerreko maiuskulak ez du agentearen abiadurara egokitzen; sandboxing-aren, irteera-murrizketen eta instalazio-hozte-denboraren inguruan eraikitako ezkerreko maiuskulak agente kaltetu bat harrapatu dezake bere ekintzak ekoizpenera iritsi aurretik, kontrol horiek ez baitute inork ezer irakurtzearen mende jartzen.
