Ann an sgrùdadh fo smachd a chaidh a thaisbeanadh aig Tèarainteachd USENIX 2025, dh’iarr luchd-rannsachaidh air 16 modalan cànain mòra 576,000 sampall còd a chruthachadh. Cha robh faisg air aon às gach còig de na pacaidean stòr fosgailte a mhol na modailean sin ann: 205,474 ainmean pacaid meallta sònraichte, air an innleachadh a-mach à neoni. Bhiodh sin na rud neònach nam biodh e air thuaiream. Chan eil. Nochd ceathrad ’s a trì sa cheud de na h-ainmean meallta a-rithist is a-rithist thar grunn phuingean. Chan fheum luchd-ionnsaigh tomhas dè a chruthaicheas neach-cuideachaidh còdaidh. Faodaidh iad coimhead, feitheamh, agus an t-ainm a chlàradh an toiseach.
Sin a’ phrìomh dhuilgheadas a th’ aig Tèarainteachd slabhraidh solair AI ann an aon deuchainn: tha an aon AI a luathaicheas leasachadh bathar-bog air a thighinn gu bhith na àite inntrigidh ro-innseach, a ghabhas a chleachdadh. Chan e a’ cheist a th’ ann do sgiobaidhean tèarainteachd tuilleadh a bheil AI a’ beantainn ris an t-sèine solair bathar-bog. Is e a’ cheist a th’ ann a bheil e a’ faicinn dè tha e a’ dèanamh air gach taobh den t-sabaid: an AI a’ sgrìobhadh do chòd, an AI a’ dìon do pipeline, agus an AI a tha ionnsaighear a’ comharrachadh air an dà chuid.
Dè a th’ ann an tèarainteachd slabhraidh solair AI?
’S e cleachdadh a th’ ann an tèarainteachd slabhraidh solair AI a bhith a’ dìon slabhraidh solair bathar-bog an aghaidh chunnartan a thig bho inntleachd shaorga no a mheudaicheas i, agus AI a chleachdadh gus an aon slabhraidh solair sin a dhìon. Tha e aig crois-rathad dà ghluasad a bhios a’ mhòr-chuid de phrògraman tèarainteachd fhathast a’ làimhseachadh air leth: còd a chaidh a chruthachadh le AI a’ dol a-steach don stòr-chòd, agus ionnsaighean le cumhachd AI a tha ag amas air na h-eisimeileachdan, togail pipelines, agus innealan luchd-leasachaidh a tha timcheall air.
Bidh tèarainteachd thraidiseanta nan tagraidhean a’ faighneachd a bheil so-leòntachd aithnichte ann am pàirt aithnichte. Bidh tèarainteachd slabhraidh solair AI a’ faighneachd cheistean nas cruaidhe, nas luaithe: A bheil an eisimeileachd seo a chuir riochdaire AI a-steach o chionn ghoirid ann dha-rìribh, no an deach a mhealladh? A bheil am pasgan ùr seo ag obair gu droch-rùnach, eadhon ged nach eil ainm-sgrìobhte ann air a shon fhathast? Dè na modailean, riochdairean agus ceanglaichean AI a tha a’ ruith thar cearcall-beatha leasachaidh bathar-bog, agus dè as urrainn dhaibh a ruighinn?
Is e freagairt nan ceistean sin aig a’ chòd luaths a bhios a’ lìbhrigeadh an smachd gu lèir.
Mar a thàinig AI gu bhith na uachdar ionnsaigh slabhraidh solair
Sguir luchd-ionnsaigh de bhith a’ feuchainn ri AI o chionn greis. Bidh iad a-nis ga thogail a-steach do ghnìomhachdan a tha ag amas air còd agus na tha an urra ris gu dìreach, chan ann a-mhàin bogsaichean a-steach agus login duilleagan.
Slopsquatting: a’ cleachdadh armachd air na tha AI a’ cruthachadh
Tha ainm air an teicneòlas a-nis: a' sguabadaich le sleamhnagan, air a chruthachadh sa Ghiblean 2025 le Seth Larson, leasaiche tèarainteachd aig Bunait Bathar-bog Python. Tha na meacanaig sìmplidh agus brùideil. Bidh luchd-cuideachaidh còdaidh AI gu cunbhalach a’ moladh ainmean pacaid nach eil ann. Leis gu bheil na beachdan mì-thlachdmhor sin ag ath-aithris, faodaidh ionnsaighear an t-ainm a chaidh a chruthachadh a chlàradh mar phacaid fhìor, droch-rùnach agus feitheamh gus an stàlaich an ath leasaiche (no an ath riochdaire fèin-riaghlaidh) e.
Tha an ro-shealladh air a chlàradh mu thràth. Ann an 2023, rinn neach-rannsachaidh tèarainteachd Bàr Lanyado dh’fhoillsich e pasgan àite falamh fo ainm a bhios modailean tric a’ faicinn aislingean, aodann-crùbach-cliTaobh a-staigh trì mìosan bha e air a luchdachadh sìos còrr is 30,000 uair, agus nochd an àithne stàlaidh meallta eadhon ann an README stòr poblach bho chompanaidh theicneòlais mhòr. B’ e deuchainn neo-chùramach a bha sin. Tha an aon leabhar-cluiche le fìor luchd a-nis na mhodail gnìomhachais a ghabhas ath-aithris do luchd-ionnsaigh.
Bidh riochdairean còdaidh fèin-riaghlaidh a’ dèanamh seo nas miosa le bhith a’ toirt air falbh a’ phuing-sgrùdaidh daonna mu dheireadh. Bidh riochdaire a bhios a’ stàladh eisimeileachdan gun ath-sgrùdadh a’ cur às don aon mhionaid far am faodadh leasaiche a bhith air mothachadh gu robh am pasgan a’ coimhead ceàrr.
Pacaidean droch-rùnach air sgèile gnìomhachais
’S e slopsquatting aon innleachd taobh a-staigh gluasad mòran nas motha. Ann an 2025, iomairtean pacaid droch-rùnach mòr-lìonaidh thàinig e gu bhith na mhodail obrachaidh bunaiteach airson ionnsaighean slabhraidh solair, mar a bha aig Xygeni Gluasadan Ionnsaigh AppSec Ùra airson 2026 sgrìobhainnean. Tha luchd-ionnsaigh air eaconamas spama a ghabhail os làimh: pacaidean droch-rùnach fhoillseachadh leis na mìltean, gabhail ri toirt air falbh luath, agus a bhith an urra ri coltachd seach seasmhachd. Tha clàran poblach a-nis a’ cur a-steach ceudan de mhìltean de phasganan droch-rùnach ùra gach bliadhna, agus eadhon uinneag nochdaidh ghoirid a’ truailleadh togail sìos an abhainn.
MCP: sreath ceangail ùr, gu ìre mhòr gun tèarainteachd
Leigidh am Pròtacal Co-theacsa Modail (MCP) le riochdairean AI ceangal ri innealan agus stòran dàta. Bidh e cuideachd a’ cruthachadh uachdar ionnsaigh ùr nach bi a’ mhòr-chuid de sganairean a’ sgrùdadh a-riamh. Faodaidh frithealaiche MCP droch-rùnach suidhe gu do-fhaicsinneach ri taobh feadhainn dligheach, agus faodaidh riochdaire sam bith aig a bheil cothrom faighinn thuca. Dh’fhoillsich OWASP liosta de na 10 as fheàrr de MCP ann an 2025 gus na cunnartan sin a chlàradh, bho in-stealladh sgiobalta agus puinnseanachadh innealan gu frithealaichean gun dearbhadh as urrainn do riochdaire sam bith air an lìonra ruighinn.
Dìomhaireachdan a’ leigeil a-mach tro chòd a chaidh a chruthachadh le AI
Dh’èirich teisteanasan a chaidh a mhilleadh mu 160% ann an 2025 an taca ri 2024, a rèir Check Point External Risk Management (roimhe seo Cibearint), air a stiùireadh gu ìre le fiosgaich leasaichte le AI agus malware a’ goid fiosrachaidh. Ann an àrainneachdan bathar-bog, tha sin a’ mapadh gu dìreach gu iuchraichean agus comharran cruaidh-chòdaichte ann an còd a chaidh a chruthachadh le AI. Neach-cuideachaidh còdaidh a tha air a ghabhail a-steach .env faodaidh faidhle na cho-theacsa dìomhaireachd ath-riochdachadh ann am moladh, agus bidh luchd-ionnsaigh a’ sganadh airson a’ phàtrain sin gu dìreach.
Chan eil an taobh daonna air falbh nas motha. Lorg Aithisg Cost of a Data Breach Report 2025 aig IBM, am measg briseadh dàta anns an robh AI a’ buntainn, gun do chleachd 37% fiosgaich a chaidh a chruthachadh le AI agus gun do chleachd 35% pearsanachadh domhainn-bhriste, dòighean a tha ag amas barrachd is barrachd air luchd-leasachaidh tro bhith a’ ruighinn a-mach gu luchd-fastaidh meallta agus cunntasan neach-gleidhidh pearsanaichte.
Mar a dhìonas AI an t-sèine solair
Is iad na comasan a tha a’ dèanamh AI cunnartach dìreach a tha ga dhèanamh feumail do luchd-dìon. Anns an t-sèine solair, tha an co-rèiteachadh sin as soilleire ann an ceithir àiteachan.
Lorgaireachd malware ron ainm-sgrìobhte
Seo an comas a tha a’ mìneachadh. Bidh sganadh traidiseanta a’ feitheamh ri ainm-sgrìobhte a tha aithnichte mar dhroch mus urrainn dha pasgan a chomharrachadh, rud a tha ro shlaodach gu structarail airson ionnsaighean a bhios a’ cruinneachadh mìltean de luchdachadh sìos taobh a-staigh uairean a thìde bho fhoillseachadh. An àite sin, bidh lorg stèidhichte air giùlan a’ sgòradh pasgan ùr-fhoillsichte an dearbh mhionaid a nochdas e: na gnìomhan aig àm an stàlaidh, gairmean lìonra, pàtrain obfuscation, agus ana-cainnt meata-dhàta. Tha sin a’ dùnadh na h-uinneige air a bheil iomairtean slopsquatting agus typosquatting an urra. Tha iomairtean npm Shai-Hulud agus GlassWorm aig deireadh 2025, nach do rinn lorgairean stèidhichte air ainm-sgrìobhte idir, ro-làimh.cisTha mion-sgrùdadh giùlain a’ chùis air a thogail gus glacadh.
Prìomhachas a rèir comas-cleachdaidh, chan ann a rèir meud
Chan e barrachd chùisean a lorg an tabhartas as practaigeach a th’ aig AI do AppSec an latha an-diugh; tha e a’ gearradh fuaim na tha air a lorg mu thràth. Bidh mion-sgrùdadh ruigsinneachd a’ dearbhadh a bheil slighe còd so-leònte air a cur an gnìomh. Bidh sgòradh brath-chleachdaidh a’ tomhas dàta ionnsaigh san t-saoghal fhìor an aghaidh àireamh CVSS amh. Còmhla, leigidh iad le sgiobaidhean fòcas a chuir air a’ chuibhreann de lorgan a tha a’ riochdachadh cunnart fìor, a ghabhas brath-chleachdadh an àite a bhith a’ triageadh mìltean de rabhaidhean ìosal-chomharran le làimh.
Lorgaireachd neo-riaghailteachd aig an pipeline ìre
In Suirbhidh Darktrace air Staid Cibear-thèarainteachd AI 2026, dh’ainmich stiùirichean tèarainteachd lorg bagairtean agus comharrachadh neo-riaghailteachdan (72%) mar an raon far a bheil AI a’ toirt a’ bhuaidh as motha, air thoiseach air freagairt fèin-ghluasadach (48%) agus riaghladh so-leòntachd (47%). Air a chur an sàs ann an CI/CD, tha seo a’ ciallachadh a bhith a’ comharrachadh sgriobt stàlaidh a bhios ag obair gu eadar-dhealaichte bho rud sam bith a chaidh fhaicinn roimhe ann an sin pipeline, no ùrachadh eisimeileachd a bheir a-steach gairm lìonra ris nach robh dùil.
Leigheas fèin-ghluasadach, ath-sgrùdaichte
A bharrachd air cunnart a lorg agus a rangachadh, bidh AI a-nis a’ gineadh an rèiteachaidh: atharrachadh còd sàbhailte, sònraichte don fhrèam-obrach a chaidh a chuir a-steach mar pull request seach tiogaid a bhios a’ grodadh ann an cùl-stòr. IBM lorg iad gun do lughdaich buidhnean a bha a’ cleachdadh AI agus fèin-ghluasad gu farsaing thar obrachaidhean tèarainteachd an cearcall-beatha briseadh tèarainteachd iomlan gu 204 latha, an taca ri 284 dhaibhsan nach do rinn (mu 80 latha nas luaithe), agus aig an aon àm a’ sàbhaladh cuibheasachd de $1.9 millean gach briseadh. Chan eil lorg cunnart gun a dhùnadh ach a’ gluasad an cùl-stòrais; bidh paidhreachadh triage AI le rèiteachaidhean a chaidh a chruthachadh le AI a’ dùnadh a’ chearcaill.
Am beàrn riaghlaidh nach eil a’ mhòr-chuid de sgiobaidhean air a dhùnadh
Seo am pàirt mì-chofhurtail. Lorg sgrùdadh Darktrace ann an 2026 gu bheil 77% de bhuidhnean a-nis a’ ruith AI gineadach anns a’ chruach tèarainteachd aca, ach chan eil poileasaidh foirmeil aig ach 37% airson AI a chleachdadh gu sàbhailte. Thuit an àireamh sin gu dearbh bho 45% a’ bhliadhna roimhe. Tha gabhail ris a’ chùis seo a’ dol thairis air riaghladh, agus tha luchd-ionnsaigh a’ gabhail brath air a’ bheàrn.
Airson sgiobaidhean bathar-bog, tha e a’ nochdadh gu concrait: tha luchd-cuideachaidh còdaidh AI, riochdairean, agus ceanglaichean MCP mu thràth a’ ruith air feadh an SDLC, gu tric gun sealladh meadhanaichte air na gheibh iad cothrom orra no na thug iad a-steach. Faodaidh a’ mhòr-chuid de bhuidhnean ainmean a thoirt air na solaraichean sgòthan aca. Is e glè bheag de bhuidhnean as urrainn ainmean a thoirt air gach modail, riochdaire agus frithealaiche MCP AI a tha ruigsinneach bho inneal leasaiche. Is e an clàr-stuthan sin, Bile Stuthan AI (AI-BOM), am bunait air a bheil tèarainteachd slabhraidh solair AI air a thogail. Chan urrainn dhut rud sam bith nach do chlàraich thu a dhèanamh tèarainte.
Na bu chòir do sgiobaidhean AppSec a dhèanamh a-nis
Tha briseadh dàta cuibheasach chosg e $4.44 millean ann an 2025 (IBM), agus tha an t-sèine solair a’ sìor fhàs mar aon de na puingean inntrigidh. Chan e “gabhail ri AI” an fhreagairt phractaigeach san fharsaingeachd. Is e liosta ghoirid, concrait a th’ ann:
- Dèan sgrùdadh air dè an AI a tha a’ ruith anns an inneal agad SDLC. Tha modailean, riochdairean, frithealaichean MCP, agus innealan còdaidh AI nan so-mhaoin. Tog an AI-BOM an toiseach.
- Làimhsich còd a chaidh a chruthachadh le AI mar chòd sgrìobhte le daoine. Chan eil còd a bhios a’ cruinneachadh sàbhailte gu fèin-ghluasadach, agus tha na h-eisimeileachdan aige airidh air an aon ath-sgrùdadh ri rud sam bith eile.
- Lorg malware a rèir giùlan, chan e ainmean-sgrìobhte. Tha sganadh stèidhichte air ainmean-sgrìobhte ro shlaodach a thaobh structar airson iomairtean pacaid àrd-tomhas-lìonaidh, geàrr-ùine.
- Thoir prìomhachas a rèir comas-brathaidh, chan ann a rèir meud rabhaidh. Is e luach dìonach AI a bhith a’ sgaradh fìor chunnart bho fhuaim, chan ann a bhith ga chruthachadh nas motha.
- Dèan fèin-ghluasad air leigheas, chan e dìreach lorg. Chan eil lorg às aonais càradh ach a’ gluasad an cùl-stòrais gu àite eile.
Càit a bheil tèarainteachd slabhraidh solair AI a’ dol
Bidh dà phàtran a’ mìneachadh nan ath bhliadhnaichean. An toiseach, tha ionnsaighean a’ fàs ro-innseach air sgèile seach air thuaiream: bidh slopsquatting ag obair ro-làimh.cisgu h-àraidh leis gu bheil seallaidhean AI cunbhalach, agus tha sin a’ ciallachadh gum feum dìon gluasad bho ainmean-sgrìobhte aon-uaire gu aithneachadh phàtran a bhios ag atharrachadh gus a bhith co-ionnan. San dàrna àite, tha dìon a’ gluasad bho “rabhadh a thoirt do dhuine” gu “comharrachadh, sgòradh, agus freagairt mus bi tiogaid ann.” Is iad na buidhnean a tha a’ faighinn buannachd an fheadhainn a ghlacas giùlan pasgan droch-rùnach aig àm foillseachaidh, gun a bhith a’ feitheamh ri CVE a sgrìobhadh.
’S e AI an cunnart as ùire agad agus an dìon as fheàrr agad, gu tric san aon shiostam
Bidh AI a’ tarraing ann an dà dhòigh aig an aon àm. Bheir e innealan sgèileachail, fèin-ghluasadach do luchd-ionnsaigh, agus bheir e comas do luchd-dìon lorg agus freagairt aig sgèile nach b’ urrainn do sgrùdadh làimhe a-riamh. Is e an dà-chànanachd sin dìreach carson nach urrainnear tèarainteachd slabhraidh solair AI a chuir ris mar iar-bheachd no a thoirmeasg gu tur.
Seo an beàrn Xigin chaidh a thogail gus dùnadh. Rabhadh Tràth mu Bhathar-bog Malware (MEW) a’ cumail sùil leantainneach air clàran poblach is prìobhaideach agus a’ lorg phasganan droch-rùnach an-dràsta a thèid fhoillseachadh, mus bi ainm-sgrìobhte sam bith ann, a’ cleachdadh breithneachaidhean AI air an dearbhadh le sgioba rannsachaidh daonna. Sgiath Xygeni a’ cur an fhiosrachaidh sin gu feum aig ceann-uidhe an leasaiche: bidh e a’ bacadh phasganan droch-rùnach aig àm an stàlaidh mus ruith na sgriobtaichean aca, agus a’ clàradh innealan, riochdairean agus frithealaichean MCP AI air gach inneal. Còmhla, tha iad air an togail a dh’aona ghnothach airson nan cunnartan a tha an artaigil seo a’ toirt cunntas orra: slopsquatting, typosquatting, troimh-chèile eisimeileachd, agus co-rèiteachadh neach-gleidhidh, a’ gabhail a-steach an Shai Hulud agus clasaichean ionnsaigh GlassWorm innealan stèidhichte air ainm-sgrìobhte a chaidh a chall. Còmhla ri prìomhachas stèidhichte air ruigsinneachd, AI-BOM air feadh do SDLC, agus leigheas iarrtasan tarraing fèin-ghluasadach, còd air a chruthachadh le AI agus Ionnsaighean le cumhachd AI faigh an aon sgrùdadh, gun a bhith a’ cur bacadh air luchd-leasachaidh.
Tòisich an-asgaidh. Tha plana Leasaiche Xygeni €0: 10 stòran-dàta, 200 sganadh gach mìos, suas ri 5 luchd-taic, gun chairt creideis. Sign up with GitHub, GitLab, no Google agus ruith a’ chiad sganadh agad ann an nas lugha na 10 mionaidean; Tha dìon ceann-uidhe Shield a’ tighinn chun phlana Leasaiche a dh’ aithghearr.
CÀBHA
Dè a th’ ann an tèarainteachd slabhraidh solair AI?
Bidh tèarainteachd slabhraidh solair AI a’ dìon slabhraidh solair bathar-bog an aghaidh chunnartan a bheir AI a-steach no a mheudaicheas e, leithid eisimeileachdan meallta, còd a chaidh a chruthachadh le AI anns a bheil so-leòntachd, agus ceanglaichean MCP droch-rùnach, agus aig an aon àm a’ cleachdadh AI gus a dhìon tro lorg malware stèidhichte air giùlan, prìomhachas a thoirt do ghabhas brath, agus leigheas fèin-ghluasadach.
Ciamar a thathar a’ cleachdadh AI gus slabhraidh solair bathar-bog a dhìon?
Bidh AI a’ comasachadh dìonan nach urrainn do innealan stèidhichte air ainmean-sgrìobhte a choimeas: a’ sgòradh giùlan pasgan ùr-fhoillsichte aig an àm a nochdas e, a’ dearbhadh a bheil slighe còd so-leònte dha-rìribh ruigsinneach, a’ comharrachadh neo-riaghailteachdan pipeline gnìomhachd, agus a’ gineadh rèiteachaidhean sònraichte don fhrèam-obrach mar pull requests seach tiogaidean cùl-stòraidh.
Carson nach urrainn do sganairean traidiseanta ionnsaighean slabhraidh solair air an stiùireadh le AI a ghlacadh?
Bidh innealan traidiseanta an urra ri ainmean-sgrìobhte aithnichte agus CVEn foillsichte, agus mar sin chan eil iad a’ comharrachadh pasgan ach às deidh dha a bhith air a chomharrachadh mar dhroch-rùnach. Bidh iomairtean pasgan mòra, geàrr-ùine a’ cruinneachadh luchdachadh sìos taobh a-staigh uairean a thìde bho fhoillseachadh (fada mus bi ainm-sgrìobhte ann), agus is e sin as coireach gu bheil feum air lorg ro-ainm-sgrìobhte stèidhichte air giùlan.
Dè a th’ ann an AI-BOM agus carson a tha e cudromach?
’S e clàr-stuthan AI (AI-BOM) clàr-stuthan de gach modail, àidseant, agus ceangal MCP AI a tha a’ ruith air feadh cearcall-beatha leasachaidh bathar-bog. Tha e cudromach oir chan urrainn dhut rud sam bith nach eil air a chlàr-stuthan agad a dhèanamh tèarainte, agus chan eil sealladh meadhanaichte aig a’ mhòr-chuid de bhuidhnean air dè an AI a tha ruigsinneach bho inneal leasaiche.
