De lêste jierren hie applikaasjefeiligens in dúdlike grins: de repository en de pipelineDêr sieten de kontrôles, dêr't de scans útfierd waarden, dêr't teams besletten oft wat nei produksje stjoerd waard. Alles rêste op ien oanname: in ûntwikkelder keas eksplisyt hokker koade en hokker ôfhinklikheden it systeem ynkamen.
Dy oanname hâldt net mear op. In groeiend diel fan koade wurdt hjoed de dei skreaun, suggerearre of ynstalleare troch in AI-agent, faak sûnder dat immen sjocht nei de namme fan wat der ynhelle wurdt. As de decisAs wat de koade yngiet beweecht, beweecht de oanfal ek. It beweecht him nei de foarkant fan it proses: it momint dat de koade makke wurdt, yn 'e assistint sels en yn 'e bestannen dy't it konfigurearje.
Dit is jo AI-oanfalsflak: elk model, agint, MCP-tsjinner, feardigens en troch AI suggerearre ôfhinklikens dy't no risiko kinne yntrodusearje foardat in minske it ea beoardielt. Deselde AI dy't jo ûntwikkelders fertrouwe, makket der no diel fan út. Dit is gjin takomstich risiko. It is in ferskowing dy't al bard is, en hjir is hoe't it der yn 'e praktyk útsjocht.
In weach fan oanfallen, gjin isolearre ynsidint
Gjin fan 'e folgjende is in laboratoariumoefeningcise of in hypotetyske. Dit binne iepenbiere, dokumintearre ynsidinten, hast allegear fan it ôfrûne jier, en elk komt wat tichter by de AI-agint sels:
- Augustus 2025, s1ungulariteit: Oanfallers stellen in publisearringstoken fan Nx, ien fan 'e meast brûkte buildsystemen, en stjoerden kweade ferzjes nei npm, mei help fan AI-ark om te sykjen nei geheimen op 'e masines fan ûntwikkelders.
- Septimber 2025, krijt/debug: ien fan 'e grutste kompromissen fan npm op berik, 18 pakketten mei mear as twa miljard wyklikse downloads, oernommen troch de kaping fan it akkount fan in inkele ûnderhâlder.
- Septimber 2025, Shai-Hulud: ien fan 'e earste dokumintearre wjirms dy't harsels fia npm ferspriede koene. De twadde weach, yn novimber, wie agressiver en keppele oan geheimen dy't bleatlein waarden yn mear as 25,000 repositories.
- Oktober 2025, net brûkte ymporten: ûnderdiel fan 'e PhantomRaven-kampanje, wêr't AI-hallusinaasje echte malware yn npm yntrodusearre fia in slopsquatting-technyk.
- Dit jier, ClawHub: in fergiftige register fan AI-feardigens wêr't fiif fan 'e sân meast downloade feardigens malware wiene.
De yndustry formalisearret deselde konklúzje. De OWASP Top 10 foar LLM-applikaasjes set direkte ynjeksje op nûmer ien. De OWASP MCP Top 10 (op it stuit yn beta) rjochtet him op it protokol dat aginten brûke om mei ark te praten. De OWASP Agentic Skills Top 10, in nij projekt yn 'e ynkubatorfaze, neamt kweade feardigens as it grutste risiko. OWASP beweecht him meastentiids foarsichtich; it iepenjen fan trije fronten tagelyk, ien dêrfan driuwend, seit wat oer hoe fluch dit beweecht.
Alle trije komme oerien op itselde idee: de ynstruksjes, ark en konfiguraasjes om in model hinne binne no ûnderdiel fan it AI-oanfalsflak, en se lizze meastal yn jo eigen repository. Dat ropt de earste fraach op dy't it wurdich is om jo teams te stellen: wa kontrolearret de regelbestannen, feardigens en MCP-konfiguraasjes dy't yn jo repository lizze?
Fektor 1: de fergiftige feardigens
In feardigens is in bestân mei ynstruksjes en mooglikheden dy't in AI-agent leart hoe't er in taak útfiere moat. It is net de ienige manier om it gedrach fan in agent te foarmjen (regelbestannen, hooks, en MCP-konfiguraasjes dogge itselde), mar se diele allegear ien eigenskip: se reizgje binnen de repository, mei de koade.
Undersyk dit jier hat 4,000 fan dizze feardigens beoardiele:
- 36% hie teminsten ien feiligensfout.
- 13.4% wiene kritysk.
- Hast 100 hienen direkt kwea-aardige ladingen.
De kearnferskowing: de oanfaller rjochtet him net mear op jo koade. Se rjochtsje har op de agint dy't jo koade skriuwt, en plante ferburgen ynstruksjes (soms mei ûnsichtbere tekens) dy't it model lêst en as operativ beskôget. In minsklike resinsint goedkart de pull request te goeder trou, om't it bestân yn harren eagen skjin útsjocht. It model ynterpretearret ynstruksjes dy't de resinsint noait sjoen hat.
Dit is net teoretysk. CVE-2025-59536 (CVSS 8.7) makke it mooglik om Claude Code te starten fanút in net-fertroude repository, wêr't in kweade konfiguraasje kommando's útfiere koe foardat de brûker it fertrouwensdialoochfinster akseptearre. In twadde kwetsberens, CVE-2026-21852, makke it mooglik om in API-kaai te ferwiderjen fia projekt-kontroleare konfiguraasje, sûnder dat de brûker wat goedkarde.
H2: Fektor 2: slopsquatting
De namme kombinearret "slop" (de rommel dy't in AI soms genereart) mei de klassike typosquatting-oanfal. Typosquatting hinget ôf fan minsklike flaters: in oanfaller registrearret in pakketnamme dy't ticht by in populêre namme leit en wachtet op in typfout. It is willekeurich.
Slopsquatting wachtet net op in flater. Yn 'e stúdzje dêr't yn dizze sesje nei ferwiisd wurdt, 19.7% fan 'e pakketreferinsjes generearre troch AI-modellen wiisden nei pakketten dy't net besteane. Modellen hawwe de neiging om deselde nammen werhelle te hallusinearjen, dus in oanfaller sjocht hokker nammen de AI útfûn, registrearret dy nammen mei kweade koade, en wachtet op de folgjende troch AI foarstelde ynstallaasje om it yn jo applikaasje te lûken.
De skaal is net lyts: mear as 450,000 nije kweade pakketten waarden yn 2025 identifisearre. Twa foarbylden meitsje it konkreet:
- In ûndersiker plante in ûnskealik testpakket mei de namme knuffelgesicht-cli om it punt te bewizen. It registrearre mear as 30,000 downloads yn trije moannen.
- net-brûkte ymporten, út 'e tiidline hjirboppe, waard befêstige malware, live yn in iepenbier register, mei krekt dizze technyk. Dy wie gjin test.
De fraach is net oft dit mei jo team barre kin. It giet derom hoefolle troch AI suggestjes foarstelde pakketten hjoed jo koade ynfiere sûnder dat immen dernei sjocht.
De reaksje: standards binne oan it ynheljen
Twa krêften rinne parallel. Wylst de oanfallen fersnelle, standards lichems reagearje:
- NIST SP 800-218A wreidet it ramt foar feilige softwareûntwikkeling út mei praktiken spesifyk foar AI-modellen, ynklusyf bewiis fan yntegriteit en komôf.
- In Mei 2026, CISA en har ynternasjonale G7-partners publisearre begelieding oer in Software Bill of Materials foar AI, wêryn't definiearre wurdt wat yn dy ynventaris heart: modellen, datasets, komponinten, oanbieders en ôfhinklikheden.
De rjochting is dúdlik: de SBOM wreidet út nei in AI-BOM. Jo kinne net sertifisearje of befestigje wat jo net ynventarisearje kinne. En hjoed de dei kinne de measte organisaasjes dat net:
- 43% kinne de AI-ark dy't se al brûke net kontrolearje of ynventarisearje.
- 79% hawwe gjin ynsjoch yn 'e AI-aginten en MCP-systemen dy't yn har eigen omjouwing rinne.
Yn regele omjouwings giet dizze ynventarisaasje fan goede praktyk nei kontraktuele ferwachting of neilibingsferplichting. Mar in ynventarisaasje fertelt jo allinich wat jo hawwe. Op himsels blokkearret it gjin oanfal.
De gat: in EDR foar AppSec
SAST en SCA ark binne ûntworpen om koade en ôfhinklikheden te analysearjen, net it gedrach fan in agint of syn konfiguraasje. BDU sjocht prosessen en netwurkferbiningen, mar it mist typysk de applikaasje-feiligenskontekst om in ôfhinklikens of in agentkonfiguraasje te ynterpretearjen. Tusken dy twa kategoryen ark sit in gat, krekt wêr't koade no makke wurdt, en krekt wêr't it AI-oanfalsflak libbet.
Dy gat hat trije blinde flekken:
- KI-aktiva. Modellen, aginten en MCP-tsjinners wurde net werjûn op jo SAST's as SCA's radar. Jo kinne net ynventarisearje wat jo net sjogge kinne.
- Konfiguraasjebestannen. Feardigens, regels en MCP-konfiguraasjes foarmje it gedrach fan agents, mar wurde typysk beoardiele as wiene se ûnskealike gewoane tekst.
- Pakket ynstallaasjes. A in kweade ôfhinklikens kin rinne foardat it bekend is dat it kwea-aardich is, en dan geheimen en tokens eksfiltrearje sûnder dat ien it goedkart.
Hoe Xygeni it slút
Wat in EDR docht foar einpunten, Xygeni Shield docht dat foar de AI-stipe ûntwikkelingslibbensyklus: it beskermet wêr't koade makke wurdt, wylst it de kontekst fan applikaasjefeiligens begrypt.
- Sichtberens wêr SAST en SCA net berikke. Xygeni markearret kweade feardigens- en regelbestannen, analysearret MCP-konfiguraasjes en bout in audit-klear systeem. AI-BOM, yn kaart brocht oan 'e OWASP LLM, MCP, en Agentic Skills Top 10's.
- Yntelliginsje, net allinnich hantekeningen. MEW (Malware Early Warning) analysearret it gedrach en it risiko fan in pakket om it te blokkearjen foardat in CVE, in advys of in iepenbiere hântekening bestiet. Aktuele netwurkyntelliginsje ferbrekt ferbiningen mei bekende kweade ynfrastruktuer.
- Ien kontrôlepunt, fan koade oant einpunt. Ien inkele agint, ynset sûnder de omjouwing opnij te arsjitektearjen, mei ynboude bewiis fan Jeropeeske gegevenssoevereiniteit en neilibjen fan regels.
Yn in live demonstraasje blokkearre dizze beliedshandhaving de poging fan in AI-agent om in kwea-aardich pakket te ynstallearjen oer trije ferskillende ynstallaasjepaden (firtuele omjouwing, pakketbehearder en direkte download) foardat de ynstallaasje foltôge wie, allegear yn realtime oanmeld en eksportearber nei in SOC. It onboarden fan in earste projekt duorret normaal sawat in oere; it útwreidzjen fan dekking oer in folsleine organisaasje duorret normaal ien oant twa wiken, ôfhinklik fan 'e struktuer.
FAQ
Wat is it AI-oanfalsflak yn ien alinea?
It AI-oanfalsflak is de set modellen, aginten, MCP-tsjinners, feardigens, regelbestannen en troch AI suggerearre ôfhinklikheden wêrtroch risiko in applikaasje kin ynfiere, faak foardat in minske it beoardielet. It giet fierder as tradisjonele koade en ôfhinklikheden om de konfiguraasjebestannen en ynstruksjes op te nimmen dy't foarmje hoe't in AI-agint him gedraacht.
Hoe kin ik witte oft in pakketnamme dy't troch myn AI-assistint foarsteld wurdt in hallusinaasje is of gewoan legitime mar ûnbekende?
Falidearje foar ynstallaasje: kontrolearje it register en analysearje de werklike ynhâld en bedoeling fan it pakket ynstee fan allinich de namme te fertrouwen. Xygeni automatisearret dizze falidaasje yn realtime tidens it generearjen fan koade, sadat in ynstallaasje goedkard of blokkearre wurdt foardat it rint, oft it pakket no ien is dy't jo werkenne of net.
Beynfloedt slopsquatting alle AI-modellen lykweardich?
It ûndersyk efter it sifer fan 19.7% besloech meardere modellen en fûn dat it probleem breed ferspraat wie, mei mar in lytse fariaasje tusken har. Dit is in patroan yn AI-stipe ûntwikkeling, gjin gebrek spesifyk foar ien assistint.
Kinne wy mei weromwurkjende krêft kontrolearje oft wy al in hallusinearre of kwea-aardich pakket ynstalleare hawwe?
Ja. It platfoarm fan Xygeni jout klanten tagong ta in ûnderhâlden database fan ûntdutsen kweade pakketten, dy't trochsocht wurde kinne yn jo besteande komponintynventaris, sadat jo mei in pear klikken kinne befêstigje oft wat al ynstalleare in bekende bedriging is.
Hoe lang duorret de ymplemintaasje foar in middelgrutte organisaasje mei meardere teams?
It ynlieden fan in earste projekt duorret meastal sawat in oere. It opskalen nei in folsleine organisaasje duorret meastal ien oant twa wiken, ôfhinklik fan de teamstruktuer en wurkwizen.
Kaart jo AI-oanfalsflak fergees yn
Meitsje fergees in kaart fan 'e AI-foetôfdruk fan jo applikaasje: meitsje in akkount oan en fier in earste scan út yn minutenBegjin mei ien applikaasje, sjoch hokker AI deryn sit, en sjoch hokker diel fan jo AI-oanfalsoerflak gefaarlik is.
*Guon hjirboppe neamde mooglikheden wurde hanthavene fia Xygeni Shield en de ASPM/AI Feiligensmodules; beskikberens kin ferskille per plan. Sjoch xygeni.io foar aktuele produktdetails.
