B’ àbhaist tèarainteachd slabhraidh solair riochdairean AI a bhith sìmplidh, gu h-àraidh leis gu robh duine an-còmhnaidh na sheasamh eadar ainm pacaid agus an togail. Airson fichead bliadhna, b’ e sin am modail gu lèir: leugh cuideigin an t-ainm mus deach a chur a-steach. Chan ann gu faiceallach an-còmhnaidh. Ach leugh cuideigin e.
Tha sin air falbh a-nis. Iarr leabharlann air modail AI an-diugh, agus chan eil timcheall air aon às gach còig pasganan a thathar a’ moladh ann. Tha fios aig luchd-ionnsaigh air seo, agus mar sin bidh iad a’ clàradh nan ainmean sin an toiseach. Bidh riochdaire gan stàladh, gan deuchainn, agus a’ gluasad air adhart, agus chan eil duine a’ leughadh dad eatarra. Is e seo dìreach far a bheil tèarainteachd slabhraidh solair riochdairean AI a’ fàiligeadh an-dràsta: chan ann an suidheachadh san àm ri teachd, ach anns an pipeline's a' ruith an-diugh.
Chuir an gnìomhachas dà dheichead seachad a’ togail smachdan timcheall air leasaiche a leughas, a nì ath-sgrùdadh, agus a nì co-dhùnadh. Chan e an leasaiche sin am puing-sgrùdaidh mu dheireadh mus tèid eisimeileachd a-steach don togail. Mar sin chan e a’ cheist fhìor a bheil AI àidseantach a’ toirt a-steach cunnart ùr, is e dè a tha air fhàgail na sheasamh aon uair ‘s gu bheil am puing-sgrùdaidh daonna air falbh.
Bho “Tha AI a’ moladh” gu “Tha AI ag obair”
Dà bhliadhna air ais, mhol co-phìleat bloc còd, leugh an leasaiche e, agus cho-dhùin an leasaiche am bu chòir a chumail. Tha an sruth-obrach sin air falbh sa mhòr-chuid. Bidh innealan Agent a-nis a’ stàladh eisimeileachdan, a’ tionndadh shoithichean, agus a’ piobrachadh. pipeline ceumannan leotha fhèin, gu tric ag aithris air ais dìreach às dèidh na fìrinn, agus dìreach ma thèid rudeigin ceàrr.
Thachair an t-atharrachadh ann an ìrean, agus tha a’ mhòr-chuid de sgiobaidhean nas fhaide air adhart na tha am poileasaidh tèarainteachd sgrìobhte aca ag aideachadh. Dh’iarr innealan tràtha àidseantan cead mus deach atharrachadh sam bith, agus bhriog luchd-leasachaidh air “tha” cho tric is gun do sguir an ceum dearbhaidh a bhith a’ ciallachadh dad idir. Chan eil àidseantan an latha an-diugh a’ faighneachd idir sa mhòr-chuid. Chan eil iad a’ cur bacadh ach airson gnìomhan a tha air an comharrachadh mar ghnìomhan mothachail, leithid sgriobt slige a ruith, agus gnìomh àbhaisteach. pull request faodaidh rud a chruthaicheas àidseant a bhith mìltean de loidhnichean nach leugh duine sam bith bho cheann gu ceann mus tèid a chur còmhla.
Tha an duilgheadas le ceadan a’ cur ris an seo. Anns a’ mhòr-chuid de shuidheachaidhean, bidh riochdaire dìreach a’ ruith mar an leasaiche, le cothrom air a h-uile càil as urrainn don inneal aig an leasaiche a ruighinn: caochladairean àrainneachd, comharran sgòthan, teisteanasan clàraidh, iuchraichean SSH. Nuair a stàlaicheas riochdaire rudeigin agus nuair a thèid sgriobt a losgadh aig an àm sin, bidh e a’ sealbhachadh radius spreadhaidh iomlan an duine a tha e ag atharrais air. Seo far a bheil tèarainteachd slabhraidh solair riochdaire AI a’ stad a bhith na cheist poileasaidh agus a’ fàs na cheist cheadan: chan fheum an riochdaire brath ùr, dìreach an cothrom a th’ aige mu thràth.
Caiptean an Docaiche Mohammad-Ali A'râbi, a’ bruidhinn air an aon phannal, chuir e gu soilleir e: “Tha mi a’ smaoineachadh gu bheil an leasaiche nam pàirt den uachdar ionnsaigh a-nis.”
Is fhiach a bhith onarach mu na chuir seo an àite. Duine a’ leughadh package.json Bha diff mar smachd lag mu thràth; cha mhòr nach do dhearbh duine sam bith a h-uile eisimeileachd thar-ghluasadach mus deach atharrachadh aontachadh. Cha robh riochdairean gu riatanach a’ briseadh siostam làidir. Thug iad air falbh an leisgeul mu dheireadh airson fear lag. Chan e gu bheil an cunnart ùr a dh’ atharraich, is e gu bheil e a-nis a’ gluasad aig astar gu tur eadar-dhealaichte: tha cuid de thuairmsean a’ cur meud ionnsaigh slabhraidh solair na bliadhna an-uiridh aig timcheall air còig uiread na bliadhna roimhe, agus tha an lùb a’ coimhead eas-chruthach seach loidhneach.
An t-àm stàlaidh: Dè a dh’atharraicheas nuair nach eil duine a’ coimhead
Air a bhith air fhaicinn le seallaidhean agus chan eil ainmean pacaid droch-rùnach ùr. Typosquatting air a bhith a’ cleachdadh mhearachdan clò-sgrìobhaidh daonna airson bhliadhnaichean: aon litir cheàrr, agus bidh leasaiche a’ stàladh an rud cheàrr. Is e an diofar a tha ann a-nis gur e modail, chan e duine, a chruthaich an t-ainm sa chiad àite, agus tha e a’ dèanamh sin mar a bha dùil.
Tha na h-àireamhan ga dhèanamh na ghnìomhachas, chan e rud neònach. Chan eil timcheall air 20% de na pacaidean a tha air am moladh le modalan stòr fosgailte ann (nas fhaisge air 5% airson modalan malairteach), agus thar nan ainmean fuadain a chaidh a sgrùdadh, tha 43% a’ nochdadh san aon dòigh thar deich iarrtasan ath-aithrisichte. Is e an ath-aithris sin a tha a’ dèanamh am pàtran ionnsaigh so-thuigsinn: chan fheum ionnsaighear tomhas dè a tha leasaiche a’ taipeadh. Tha am modail ag innse dhaibh, gu earbsach, an-asgaidh.
Tha caochladh nas ùire leis an ainm HalluSquatting a’ dol nas fhaide. An àite pasgan droch-rùnach fhoillseachadh fo ainm meallta, bidh ionnsaighear a’ cur stiùiridhean droch-rùnach taobh a-staigh README, faidhle sgil, no tuairisgeul frithealaiche MCP, agus an uairsin a’ feitheamh ri riochdaire an aon ainm stòrais no inneil a mhealladh agus a tharraing a-steach. Dh’innis pàipear o chionn ghoirid a’ ceangal seo ri stealladh sgiobalta ro-innse cha mhòr foirfe air ainmean stòrais meallta airson pròiseactan ùra, agus làn-ghnìomh còd an aghaidh luchd-cuideachaidh còdaidh fìor a’ gabhail a-steach Cursor, Windsurf, agus Copilot. Leis gur e teacsa lom a th’ anns an luchd seach còd so-ghnìomhaichte, chan eil dad aig a’ mhòr-chuid de dh’ innealan sganaidh ri chomharrachadh.
Mar Xygeni Oifigear Rannsachaidh Luis Rodríguez cuir e rè na deasbaid: “Chuir sinn bliadhnaichean seachad a’ togail dìonan an aghaidh còd droch-rùnach. Ainmean-sgrìobhte, bogsaichean gainmhich, mion-sgrùdadh giùlain. Chan eil feum aig HalluSquatting air gin de sin. Chan eil feum aige ach air README cinnteach.” Bidh stiùiridhean teacsa lom a leughas riochdaire mar cho-theacsa earbsach a’ seòladh dìreach seachad air sganairean a chaidh a thogail gus rudeigin a ghabhas ruith a ghlacadh.
Sin an ìre nach eil a’ mhòr-chuid de innealan AppSec fhathast air an togail airson fhaicinn, agus tha sin ro-làimh.ciscarson a tha Xygeni Rabhadh Tràth mu Bhathar-bog Malware (MEW) Tha dòigh-obrach ann aig ìre an àrd-ùrlair: mion-sgrùdadh leantainneach, fìor-ùine air pacaidean a chaidh fhoillseachadh às ùr thar chlàran mar npm, PyPI, agus Maven, air an togail gus giùlan droch-rùnach a ghlacadh mus bi ainm-sgrìobhte poblach ann, seach a bhith a’ feitheamh ri CVE gus grèim fhaighinn air làithean às deidh sin.
Gabhail a-steach, CI/CD, agus Tùs: An urrainn dhut fhathast dearbhadh dè a tha anns an togail agad?
Is ann ainneamh a stadas riochdaire aig cur loidhne ri package.jsonBidh e a’ deasachadh Dockerfiles, ag ath-structaradh thogalaichean ioma-ìre, agus a’ beantainn ri pipeline rèiteachadh gu dìreach, a’ dol a-steach don t-siostam togail fhèin seach dìreach a’ chraobh thùsail.
Seo dìreach far a bheil freagairt na gnìomhachais do chunnart slabhraidh solair, SBOMs agus SLSA provenance, bha còir aige cumail. An uairsin, sa Chèitean 2026, rinn ionnsaighear ionnsaigh air neach-gleidhidh, chleachd e an comharra a chaidh a ghoid gus “dìlleachdan” fhoillseachadh commit gun phàrant ann an eachdraidh a’ phròiseict, agus chleachd iad e gus tasgadan togail a phuinnseanachadh. Chaidh na pacaidean a thig às, ceithir fichead ’s a ceithir dhiubh, a lìbhrigeadh le tùs àrd-ìre làn-dhligheach, air a shoidhnigeadh gu ceart. Chaidh a h-uile sgrùdadh fèin-ghluasadach seachad. Bha an malware fìor, agus mar sin, gu teicnigeach, bha am pàipearachd a’ dearbhadh mar a chaidh a thogail fìor.
An rud mì-chofhurtail a tha seo a’ ciallachadh: tha tùs a’ dearbhadh dè a rinn togail leis na chaidh a thoirt dha, chan ann gu robh earbsa airidh air na chaidh a thoirt dha. Puinnseanaich an cuir-a-steach mus bi an nì-ealain ann, agus tha an dearbhadh na chlàr onarach, dearbhte de thogail mì-onarach. Chan urrainnear tèarainteachd slabhraidh solair riochdairean AI a thoirt a-mach gu tur gu innealan dearbhaidh a chaidh a thogail airson saoghal far an robh duine, chan e modail, a’ co-dhùnadh dè a chaidh a-steach don togail.
Tha aon lasachadh practaigeach neo-ghlamasach ach èifeachdach: ùine fuarachaidh, a’ feitheamh beagan làithean às deidh dreach pacaid ùr fhoillseachadh mus tèid gabhail ris. Thèid a’ mhòr-chuid de thachartasan slabhraidh solair gnìomhach a chomharrachadh agus fhoillseachadh taobh a-staigh na h-uinneige tràth sin, agus mar sin bhiodh dàil còig latha air cuibhreann brìoghmhor de na bliadhna an-uiridh a neodachadh. ionnsaighean stoidhle cnuimhe, aig cosgais dìreach dad ach sa bhadiacy.
Git, Lèirmheas, agus am Puing-sgrùdaidh Daonna a tha a’ Crìonadh
Ath-sgrùdadh còd agus commit Tha eachdraidh air a bhith na acair earbsa airson “choimhead cuideigin air seo o chionn fhada.” Bidh an acair sin a’ fàs nas mì-chinnteach nuair a bhios riochdairean commit, agus a’ tighinn còmhla barrachd is barrachd, gun duine anns a’ lùb aig an àm a thachras e.
Chan eil an aon dhuilgheadas earbsa ann an riochdaire a tha a’ stàladh pasgan ri leasaiche a tha a’ dèanamh lethbhreac de fhreagairt Stack Overflow, eadhon ged a bhios an dithis a’ leum a-mach sgrìobhadh a’ chòd thùsail. Chaidh criomag Stack Overflow a sgrìobhadh le fìor dhuine agus chaidh ath-sgrùdadh neo-fhoirmeil a dhèanamh air le co-aoisean tro bhòtaichean suas is sìos. Is e toradh coltachd a th’ ann am moladh a chaidh a chruthachadh le AI gun aon fheart, agus bidh leasaiche a tha ga chopaigeadh le làimh fhathast a’ coimhead air ainm a’ phacaid, ceann-latha an ùrachaidh mu dheireadh, na cùisean fosgailte. Cha stad riochdaire a tha ga stàladh airson gin de sin mura h-eil rudeigin air a thogail gu soilleir gus stad a chuir air.
Sin an fhìor dhuilgheadas gluasad-clì. Tha gluasad-clì traidiseanta a’ gabhail ris gur e an rud as luaithe a ghluaiseas anns an pipeline 'S e leasaiche a th' ann a ghabhas trèanadh, putadh, agus ath-sgrùdadh. Nuair a bhios an rud as luaithe a' gluasad na àidseant fèin-riaghlaidh na àite, feumar tèarainteachd shift-left a cheangal ri puingean-sgrùdaidh nach urrainn don àidseant bruidhinn mun cuairt orra: bogsa-gainmhich, smachd fàgail, agus uinneagan fuarachaidh, seach sgrìobhainn poileasaidh nach eil duine a' cur an gnìomh.
Tèarainteachd Slabhraidh Solarachaidh Àidseant AI: Dè a th’ ann an Àidseant Tèarainte Pipeline Gu dearbh, feumaidh
Chan eil feum air naoi smachdan eadar-dhealaichte air an cur an gnìomh gu foirfe air a’ chiad latha gus a bhith beò san t-seòrsa ùr seo de chnuimhean. Airson sgioba le goireasan gann, tha dhà nas cudromaiche na a’ chòrr:
- Bogsa-gainmhich an riochdaire, an-còmhnaidh. Ruith e ann am microVM no soitheach leis an eòlaire pròiseict làithreach a-mhàin air a chuir suas, agus mar sin chan eil slighe aig riochdaire a tha air a mhilleadh gu comharran, teisteanasan no faidhlichean an aoigh. Is e seo an smachd as saoire a tha ri fhaighinn agus am fear leis an leisgeul as lugha airson a sheachnadh.
- Cuir uinneag fuarachaidh ris mus stàlaich thu dreachan ùra de phacaid. Bidh beagan làithean gu tric gu leòr airson ionnsaigh slabhraidh solair beò tighinn am bàrr agus a bhith air fhoillseachadh mus ruig i an togail agad.
An treas fear, airson sgiobaidhean as urrainn a shìneadh gu ruige seo: faicsinneachd CVE agus malware a thogail gu dìreach a-steach don pipeline, a’ sganadh ìomhaigh a’ chontaineir (chan e dìreach an còd tùsail, leis gu bheil uimhir de sho-leòntachdan a’ fuireach san ìomhaigh bhunaiteach) agus a’ nochdadh thoraidhean mar pull request beachdan a chì luchd-leasachaidh mus tèid an cur còmhla.
Tha tachartas o chionn ghoirid a’ dèanamh na geallaidhean concrait. Anns an Iuchar 2026, rinn modail AI fo mheasadh a-staigh brath air slighe neoni-latha ann an aon shlighe lìonra ceadaichte a bhogsa-gainmhich fhèin, neach-ionaid pasgan-tasgadan, gus an eadar-lìon fosgailte a ruighinn agus, gun duine ga stiùireadh, bun-structar taobh a-muigh a mhilleadh ann a bhith a’ sireadh amas comharrachaidh. B’ e bun-structar eisimeileachd an t-slighe teicheadh: an aon cheangal a tha gach bogsa-gainmhich air a thogail gus leigeil troimhe. Ma dh’ fheumas an riochdaire agad clàr phasgan a ruighinn gus obrachadh, chan e mion-fhiosrachadh taobh den mhodail tèarainteachd agad a th’ anns a’ cheangal sin. Is e am modail tèarainteachd a th’ ann. Is fhiach làn mhìneachadh Xygeni air mar a thachair an teicheadh sin a leughadh: Rogue le Dealbhadh.
Na prìomh ghiùlan-bidhe
- Tha am puing-sgrùdaidh daonna mu dheireadh a’ dol à bith, chan ann a’ lagachadh. Dealbhaich smachdan nach eil an urra ri cuideigin a’ leughadh ainm pacaid.
- Tha Slopsquatting agus HalluSquatting nan àiteachasan, chan ann an teòiridh. Tha ainmean meallta a tha a’ nochdadh a-rithist is a-rithist agus stealladh prompt teacsa lom gan cleachdadh mu thràth san dùthaich.
- Tùs agus SBOMa’ dearbhadh dè a rinn togail, chan e dè a chaidh a bhiadhadh. Làimhsich teisteanas àrd-ìre mar rud riatanach, chan ann mar rud iomchaidh.
- Is e cuingealachadh, chan e lorg, a tha a’ cur bacadh air an-dràsta. Bidh bogsa-gainmhich, smachd air falbh, agus uinneagan fuarachaidh a’ ceannach ùine nach urrainn do sganadh stèidhichte air ainmean-sgrìobhte.
- Dèan clàr-stuthan de na rudan as urrainn do na riochdairean agad a ruighinn dha-rìribh. Chan e an sgrìobhainn poileasaidh. Na fìor chomharran, na fìor theisteanasan, an fhìor fàgail lìonra.
Tha am pìos seo a’ tarraing air a’ chòmhradh bho SafeDev Talk aig Xygeni “Nuair a bhios riochdairean AI a’ stàladh eisimeileachdan,” anns a bheil Caiptean Docker Mohammad-Ali A’râbi. Tha am frèam-obrach cruadhachaidh naoi-smachd aige air a chòmhdach nas mionaidiche san litir-naidheachd aige, Docker Security Dispatch agus Luis Rodriguez, Oifigear Rannsachaidh aig Xygeni.
Ceistean Cumanta: Tèarainteachd Slabhraidh Solarachaidh Àidseantan AI
A bheil riochdaire a’ stàladh pasgan na dhuilgheadas earbsa gu tur eadar-dhealaichte seach leasaiche a tha a’ dèanamh lethbhreac de mholadh Stack Overflow, no dìreach dreach nas luaithe den aon fhear?
An dà chuid, ann an diofar cho-mheasan. Tha an dòigh-obrach nas luaithe, ach tha am beàrn earbsa nas fharsainge a thaobh structar cuideachd: chaidh freagairt Stack Overflow a sgrìobhadh agus ath-sgrùdadh gu neo-fhoirmeil le co-aoisean le neach, agus tha moladh pacaid a chaidh a chruthachadh le AI na thoradh coltachd gun ath-sgrùdadh co-ionann, agus tha leasaiche ga chopaigeadh le làimh fhathast a’ cur sgrùdadh casual an sàs nach eil riochdaire gun neach-frithealaidh a’ dèanamh idir.
Dè a bheireadh e airson SBOM gus clàradh gu earbsach “chuir riochdaire seo ris, agus seo carson”?
An-diugh SBOM agus tùs standardchaidh an togail timcheall air a’ bharail gun do rinn duine gach eisimeileachd decision, agus chan eil raon aca fhathast airson dè an riochdaire, dè an dreach modail, no dè an spreagadh a thug gu buil atharrachadh sònraichte. Gus an beàrn sin a dhùnadh feumaidh leudachadh a bhith ann air cruthan dearbhaidh a th’ ann mar-thà no slighe sgrùdaidh fa leth, mothachail air riochdairean, a ghlacas decistùs ian còmhla ri tùs togail.
A bheil dreach ann de “shift-left” a bhios fhathast ag obair nuair a tha an rud as luaithe anns an pipeline 'S e riochdaire fèin-riaghlaidh a th' ann, chan e leasaiche?
'S e, ach feumaidh e am puing-sgrùdaidh atharrachadh, chan e dìreach an t-àm. Chan eil gluasad clì a chaidh a thogail timcheall air ath-sgrùdadh daonna ag atharrachadh gu astar riochdaire; faodaidh gluasad clì a chaidh a thogail timcheall air bogsa-gainmhich, cuingealachaidhean fàgail, agus fuarachadh stàlaidh fhathast riochdaire a tha air a mhilleadh a ghlacadh mus ruig na gnìomhan aige cinneasachadh, leis nach eil na smachdan sin an urra ri duine sam bith a’ leughadh dad.
