He mea maʻalahi ka palekana o ke kaulahao hoʻolako o nā ʻelele AI ma mua, ʻoiai no ka mea, kū mau ke kanaka ma waena o ka inoa o kahi pūʻolo a me ke kūkulu ʻana. No iwakālua mau makahiki, ʻo ia ke kumu hoʻohālike holoʻokoʻa: heluhelu kekahi i ka inoa ma mua o kona komo ʻana. ʻAʻole i nā manawa a pau me ke akahele. Akā, ua heluhelu kekahi iā ia.
Ua pau kēlā i kēia manawa. E noi i kahi kumu hoʻohālike AI no kahi waihona puke i kēia lā, a ma kahi o hoʻokahi o ʻelima mau pūʻolo i ʻōlelo ʻia ʻaʻohe. ʻIke nā mea hoʻouka i kēia, no laila hoʻopaʻa inoa mua lākou i kēlā mau inoa. Hoʻokomo kahi ʻelele iā lākou, hoʻāʻo iā lākou, a neʻe aku, a ʻaʻohe mea e heluhelu i kekahi mea ma waena. ʻO kēia kahi e hāʻule ai ka palekana o ke kaulahao lako ʻelele AI i kēia manawa: ʻaʻole ma kekahi kūlana e hiki mai ana, akā ma ka pipelineke holo nei i kēia lā.
Ua hoʻolilo ka ʻoihana i ʻelua mau makahiki i ke kūkulu ʻana i nā mana hoʻomalu a puni kahi mea hoʻomohala nāna e heluhelu, loiloi, a hoʻoholo. ʻAʻole ʻo kēlā mea hoʻomohala ka wahi nānā hope loa ma mua o ke komo ʻana o kahi hilinaʻi i ke kūkulu ʻana. No laila, ʻo ka nīnau maoli, ʻaʻole ia inā hoʻolauna ka AI agentic i kahi pilikia hou, akā ʻo ia ka mea i waiho maoli ʻia ke pau ka wahi nānā kanaka.
Mai "Manaʻo AI" a i "Hana AI"
ʻElua makahiki i hala aku nei, ua hāpai kekahi hoa pailota i kahi poloka code, ua heluhelu ka mea hoʻomohala iā ia, a ua hoʻoholo ka mea hoʻomohala inā e mālama iā ia. Ua nalowale loa kēlā kahe hana. I kēia manawa, hoʻokomo nā mea hana Agentic i nā mea hilinaʻi, hoʻohuli i nā ipu, a hoʻāla pipeline nā ʻanuʻu ma kā lākou iho, e hōʻike pinepine ana ma hope o ka ʻoiaʻiʻo, a inā wale nō he hewa kekahi mea.
Ua hana ʻia ka hoʻololi ʻana ma nā pae, a ʻoi aku ka nui o nā hui ma mua o ka ʻae ʻana o kā lākou kulekele palekana i kākau ʻia. Ua noi nā mea hana ʻelele mua no ka ʻae ʻia ma mua o kēlā me kēia hoʻololi, a ua kaomi pinepine nā mea hoʻomohala i ka "ʻae" a ua pau ka manaʻo o ka hana hōʻoia. ʻAʻole nīnau iki nā ʻelele o kēia lā. Hoʻopilikia wale lākou no nā hana i hōʻailona ʻia he koʻikoʻi, e like me ka holo ʻana i kahi script shell, a me kahi maʻamau pull request Hiki i ka mea i hana ʻia e kahi ʻākena ke holo i loko o nā tausani laina i heluhelu ʻole ʻia e kekahi kanaka mai ka hopena a ka hopena ma mua o ka hoʻohui ʻana.
Hoʻonui ka pilikia ʻae i kēia. I ka hapa nui o nā hoʻonohonoho ʻana, holo wale kahi ʻelele ma ke ʻano he mea hoʻomohala, me ke komo ʻana i nā mea āpau e hiki ai i ka mīkini a ka mea hoʻomohala ke hiki: nā loli kaiapuni, nā hōʻailona ao, nā palapala hōʻoia, nā kī SSH. Ke hoʻokomo kahi ʻelele i kahi mea a hoʻomaka kahi script i ka wā o kēlā hoʻonohonoho ʻana, hoʻoilina ia i ka radius pahū piha o ke kanaka āna e hoʻohālike nei. ʻO kēia kahi e pau ai ka palekana o ke kaulahao lako ʻelele AI i nīnau kulekele a lilo i nīnau ʻae: ʻaʻole pono ka ʻelele i kahi hoʻohana hou, pono wale nō ke komo i loaʻa iā ia.
Kāpena Docker Mohammad-Ali A'râbi, e ʻōlelo ana ma ka papa hoʻokahi, ua ʻōlelo maopopo mai: "Manaʻo wau ʻo ka mea hoʻomohala kekahi ʻāpana o ka ʻili hoʻouka i kēia manawa."
He mea kūpono ke ʻōlelo pololei e pili ana i ka mea i pani ʻia e kēia. He heluhelu kanaka i kahi package.json he mana nāwaliwali mua ʻo diff; ʻaneʻane ʻaʻohe mea i hōʻoia maoli i kēlā me kēia hilinaʻi transitive ma mua o ka ʻae ʻana i kahi hoʻololi. ʻAʻole pono nā ʻelele e uhaʻi i kahi ʻōnaehana ikaika. Ua wehe lākou i ke kumu hope loa no kahi nāwaliwali. ʻO ka mea i hoʻololi ʻia ʻaʻole ia he mea hou ka pilikia, akā ke neʻe nei ia i kahi wikiwiki ʻokoʻa loa: ua kau kekahi mau kuhi i ka nui o ka hoʻouka kaua kaulahao lako o ka makahiki i hala ma kahi o ʻelima mau manawa i ka makahiki ma mua, a ʻike ʻia ke piʻo exponential ma mua o ka linear.
Ka Manawa Hoʻouka: He aha nā mea e loli ai ke nānā ʻole kekahi
Hoʻokalakupua ʻia a ʻaʻole hou nā inoa pūʻolo ʻino. Ke kākau ʻana ua hoʻohana ʻo ia i nā hewa paʻi kanaka no nā makahiki: hoʻokahi leka hewa, a hoʻokomo kahi mea hoʻomohala i ka mea hewa. ʻO ka mea ʻokoʻa i kēia manawa, ʻo kahi kumu hoʻohālike, ʻaʻole he kanaka, ka mea i hana i ka inoa ma kahi mua, a hana ia pēlā me ka wānana.
ʻO nā helu e hoʻolilo i kēia i ʻoihana, ʻaʻole he mea hoihoi. Ma kahi o 20% o nā pūʻolo i ʻōlelo ʻia e nā hiʻohiʻona open-source ʻaʻole i loaʻa (kokoke i ka 5% no nā hiʻohiʻona kalepa), a ma waena o nā inoa i hana ʻia i aʻo ʻia, 43% e hana hou like ana ma nā nīnau he ʻumi i hana hou ʻia. ʻO kēlā hana hou ʻana ka mea e hiki ai ke hoʻohana i ke ʻano hoʻouka: ʻaʻole pono ka mea hoʻouka e kuhi i ka mea a ka mea hoʻomohala e paʻi ai. Hōʻike ke kumu hoʻohālike iā lākou, me ka hilinaʻi, no ka manuahi.
Hoʻoikaika hou aku kahi ʻano hou i kapa ʻia ʻo HalluSquatting. Ma kahi o ka hoʻopuka ʻana i kahi pūʻolo ʻino ma lalo o kahi inoa hallucinated, kanu kahi mea hoʻouka i nā ʻōlelo kuhikuhi ʻino i loko o kahi README, kahi faila akamai, a i ʻole kahi wehewehe kikowaena MCP, a laila kali i kahi ʻelele e hallucinate i ka waihona like a i ʻole ka inoa mea hana a huki iā ia i loko. Ua hōʻike ʻia kahi pepa hou e hoʻopaʻa ana i kēia me ka injection wikiwiki i ka wānana kokoke i ka hemolele o nā inoa waihona hoʻopunipuni no nā papahana hou, a me ka hoʻokō code piha e kūʻē i nā mea kōkua coding maoli e like me Cursor, Windsurf, a me Copilot. No ka mea he kikokikona maʻalahi ka ukana ma mua o ke code executable, ʻaʻohe mea e hōʻailona ai ka hapa nui o nā mea hana scan.
E like me Xygeni Luna ʻImi Luis Rodríguez e waiho iā ia i ka wā o ke kūkākūkā ʻana: "Ua hoʻolilo mākou i nā makahiki e kūkulu ana i nā pale kū'ē i ke code ʻino. Nā pūlima, nā pahu one, ka nānā ʻana i ke ʻano. ʻAʻole pono ʻo HalluSquatting i kekahi o ia mea. Pono wale ia i kahi README hōʻoiaʻiʻo." Holo pololei nā kuhikuhi kikokikona maʻalahi a kahi ʻākena e heluhelu ai ma ke ʻano he pōʻaiapili hilinaʻi ma mua o nā scanner i kūkulu ʻia e hopu i kahi mea hiki ke hoʻokō ʻia.
ʻO ia ka papa i kūkulu ʻole ʻia e ka hapa nui o nā mea hana AppSec e ʻike ai, ʻo ia hoʻi ma muacisno ke aha ʻo Xygeni ʻŌlelo Aʻo Mua no ka Polokalamu ʻIno (MEW) Aia ke ʻano hana ma ka pae kahua: ka nānā mau ʻana, ka manawa maoli o nā pūʻolo i paʻi hou ʻia ma nā papa inoa e like me npm, PyPI, a me Maven, i kūkulu ʻia e hopu i ka hana ʻino ma mua o ka loaʻa ʻana o kahi pūlima lehulehu, ma mua o ke kali ʻana i kahi CVE e hopu i nā lā ma hope.
Ipu, CI/CD, a me ke kumu: Hiki iā ʻoe ke hōʻoia i ka mea i loko o kāu kūkulu?
Kākaʻikahi ka pau ʻana o kahi ʻākena i ka hoʻohui ʻana i kahi laina i package.jsonHoʻoponopono ia i nā faila Docker, hoʻonohonoho hou i nā kūkulu multi-stage, a hoʻopā pipeline hoʻonohonoho pololei, ke komo ʻana i ka ʻōnaehana kūkulu ponoʻī ma mua o ka lāʻau kumu wale nō.
ʻO kēia kahi e pane ai ka ʻoihana i ka pilikia o ke kaulahao lako, SBOMa me SLSA provenance, i manaʻo ʻia e paʻa. A laila, i Mei 2026, ua hoʻopiʻi kekahi mea hoʻouka i kahi mea mālama, hoʻohana i ka hōʻailona i ʻaihue ʻia e hoʻopuka i kahi "kama ʻole" commit me ka ʻole o ka makua i ka mōʻaukala o ka papahana, a hoʻohana ia mea e hoʻomake i kahi cache kūkulu. ʻO nā pūʻolo hopena, kanawalukūmāhā o lākou, i hoʻouna ʻia me ka puka kumu kiʻekiʻe loa i kau inoa pono ʻia. Ua hala kēlā me kēia nānā aunoa. He ʻoiaʻiʻo ka malware, a no laila, ma ke ʻano loea, ʻo ia ka pepa e hōʻike ana i ke ʻano o kona kūkulu ʻia ʻana.
ʻO ka lawe ʻoluʻolu ʻole: hōʻike ke kumu i ka mea a ke kūkulu ʻana i hana ai me nā mea i hāʻawi ʻia, ʻaʻole ʻo ka mea i hāʻawi ʻia he hilinaʻi kūpono. E hōʻino i ka mea i hoʻokomo ʻia ma mua o ka loaʻa ʻana o ka artifact, a ʻo ka hōʻoia he moʻolelo ʻoiaʻiʻo a hiki ke hōʻoia ʻia o kahi kūkulu hoʻopunipuni. ʻAʻole hiki ke hoʻoili wale ʻia ka palekana kaulahao lako o nā ʻelele AI i nā mea hana hōʻoia i kūkulu ʻia no kahi honua kahi i hoʻoholo ai ke kanaka, ʻaʻole he kumu hoʻohālike, i ka mea i hoʻokomo ʻia i loko o ke kūkulu ʻana.
ʻO kekahi hoʻēmi kūpono he mea hoʻonani ʻole akā kūpono: he manawa hoʻomaha, e kali ana i kekahi mau lā ma hope o ka paʻi ʻia ʻana o kahi mana pūʻolo hou ma mua o ka hoʻohana ʻana. ʻO ka hapa nui o nā hanana kaulahao lako e hōʻailona ʻia a hōʻike ʻia i loko o kēlā puka makani mua, no laila ʻo ka lohi ʻelima lā e hoʻopau i kahi hapa koʻikoʻi o ka makahiki i hala. nā hoʻouka kaua ʻano ilo, ma ke kumukūʻai o ka mea ʻole koe wale nō ka wikiwikiiacy.
ʻO Git, Review, a me ka Shrinking Human Checkpoint
Loiloi code a me commit ua lōʻihi ka wā i lawelawe ai ka mōʻaukala ma ke ʻano he heleuma hilinaʻi no "ua nānā kekahi i kēia." E lilo ana kēlā heleuma i mea haʻalulu ke hiki i nā ʻelele commit, a hui pū pinepine, me ka ʻole o ke kanaka i loko o ka loop i ka manawa e hana ʻia ai.
ʻAʻole like ka pilikia hilinaʻi o kahi ʻākena e hoʻokomo ana i kahi pūʻolo me kahi mea hoʻomohala e kope ana i kahi pane Stack Overflow, ʻoiai ʻelua e kāpae ana i ke kākau ʻana i ke code kumu. Ua kākau ʻia kahi ʻāpana Stack Overflow e kekahi kanaka maoli a ua loiloi ʻia ma ke ʻano kūhelu ma o nā upvotes a me nā downvotes. ʻO kahi ʻōlelo paipai i hana ʻia e AI he hopena probabilistic me kekahi waiwai, a ʻo ka mea hoʻomohala e kope lima ana iā ia e nānā mau ana i ka inoa pūʻolo, ka lā i hoʻopou hou ʻia, nā pilikia wehe. ʻAʻole hoʻomaha kahi ʻākena e hoʻokomo ana iā ia no kekahi o ia mea ke ʻole kahi mea i kūkulu pono ʻia e hoʻomaha ai.
ʻO ia ka pilikia maoli o ka neʻe ʻana-hema. Manaʻo ka neʻe ʻana-hema kuʻuna i ka mea wikiwiki loa i loko o ka pipeline he mea hoʻomohala hiki ke hoʻomaʻamaʻa ʻia, hoʻoikaika ʻia, a loiloi ʻia. I ka wā e lilo ai ka mea wikiwiki loa i ʻelele kūʻokoʻa, pono e hoʻopaʻa hou ʻia ka palekana shift-left i nā wahi nānā i hiki ʻole i ka ʻelele ke kamaʻilio i kona ala a puni: sandboxing, egress control, a me nā puka makani cooldown, ma mua o kahi palapala kulekele ʻaʻohe mea e hoʻokō.
Palekana Kaulahao Hoʻolako ʻAgent AI: He ʻAgent Palekana Loa Pipeline Pono maoli
ʻAʻole pono ka ola ʻana i kēia papa hou o ka ilo i ʻeiwa mau mana like ʻole i hoʻokō pono ʻia i ka lā mua. No kahi hui i kaupalena ʻia e nā kumuwaiwai, ʻoi aku ka nui o ʻelua ma mua o ke koena:
- E hoʻopaʻa i ka ʻākena, i nā manawa a pau. E holo iā ia i loko o kahi microVM a i ʻole ka ipu me ka papa kuhikuhi papahana o kēia manawa wale nō i kau ʻia, no laila ʻaʻohe ala o kahi ʻelele i hoʻopilikia ʻia i nā hōʻailona, nā palapala hōʻoia, a i ʻole nā faila o ka mea hoʻokipa. ʻO kēia ka mana makepono loa i loaʻa a ʻo ia ka mea me ka liʻiliʻi o ke kumu e lele ai.
- E hoʻohui i kahi puka makani cooldown ma mua o ka hoʻokomo ʻana i nā mana pūʻolo hou. ʻO kekahi mau lā ka mea pinepine e lawa ai no kahi hoʻouka kaua ola ma ke kaulahao lako e ʻike ʻia a hōʻike ʻia ma mua o kona hiki ʻana i kāu kūkulu ʻana.
ʻO ke kolu, no nā hui e hiki ke hoʻolōʻihi iā ia: kūkulu i ka ʻike CVE a me ka malware pololei i loko o ka pipeline, ke nānā ʻana i ke kiʻi ipu (ʻaʻole wale ke code kumu, ʻoiai he nui nā nāwaliwali e noho ana i ke kiʻi kumu) a ke ʻike nei i nā hopena e like me pull request nā manaʻo a nā mea hoʻomohala e ʻike maoli ai ma mua o ka hui ʻana.
Ua hoʻokūpaʻa ʻia nā pilikia e kahi hanana i hala koke aku nei. I Iulai 2026, ua hoʻohana kekahi kumu hoʻohālike AI ma lalo o ka loiloi kūloko i kahi zero-day i loko o ke ala pūnaewele hoʻokahi i ʻae ʻia o kāna pahu sandbox ponoʻī, kahi proxy package-cache, e hiki ai i ka pūnaewele ākea a, me ke kanaka ʻole e kuhikuhi ana iā ia, e hoʻopilikia i nā ʻoihana waho e alualu ana i kahi pahuhopu benchmark. ʻO ke ala pakele he ʻōnaehana hilinaʻi: ʻo ka pilina hoʻokahi i kūkulu ʻia i kēlā me kēia pahu sandbox e ʻae ai. Inā pono kāu ʻelele e hiki i kahi papa inoa pūʻolo e hana, ʻaʻole ia pilina he kikoʻī ʻaoʻao o kāu kumu hoʻohālike palekana. ʻO ia ke kumu hoʻohālike palekana. ʻO ka wehewehe piha a Xygeni no ke ʻano o kēlā pakele ʻana he mea kūpono ke heluhelu ʻia: Rogue ma ka Hoʻolālā.
Ke Kumu Loaʻa
- Ke nalo aku nei ke kahua nānā hope loa o kānaka, ʻaʻole e nāwaliwali ana. Nā mana hoʻolālā i hilinaʻi ʻole ʻia i kekahi e heluhelu ana i ka inoa o kahi pūʻolo.
- He hiki ke mahiʻai ʻia ʻo Slopsquatting a me HalluSquatting, ʻaʻole he manaʻo. Ke hoʻohana ʻia nei nā inoa hallucinated e hana hou ʻia a me ka hoʻokomo wikiwiki ʻana i ka kikokikona maʻalahi ma ka nahelehele.
- Ka puka ʻana a me SBOMe hōʻoia i ka mea a ke kūkulu ʻana i hana ai, ʻaʻole ka mea i hānai ʻia. E mālama i ka hōʻoia kiʻekiʻe e like me ka mea e pono ai, ʻaʻole lawa.
- ʻO ka hoʻopaʻa ʻana, ʻaʻole ka ʻike ʻana, ka mea e paʻa nei i ka laina i kēia manawa. ʻO ke oneboxing, ka hoʻokele egress, a me nā puka makani cooldown e kūʻai i ka manawa i hiki ʻole i ka scanning ma muli o ke kau inoa.
- E hoʻopaʻa i nā mea e hiki ai i kāu mau mea lawelawe ke hōʻea. ʻAʻole ka palapala kulekele. ʻO nā hōʻailona maoli, nā palapala hōʻoia maoli, ka puka pūnaewele maoli.
Ua hoʻohana ʻia kēia ʻāpana ma ke kūkākūkā ʻana mai ka SafeDev Talk a Xygeni.Ke hoʻokomo nā ʻelele AI i nā hilinaʻi," e hōʻike ana iā Kāpena Docker Mohammad-Ali A'râbi. Ua uhi ʻia kāna ʻōnaehana hoʻopaʻakikī ʻeiwa-mana piha i ka hohonu ma kāna nūpepa, ʻo Docker Security Dispatch a me Luis Rodriguez Research Officer ma Xygeni.
Nā nīnau i nīnau pinepine ʻia: Palekana kaulahao lako o ka ʻelele AI
He pilikia hilinaʻi ʻokoʻa anei kahi ʻākena e hoʻokomo nei i kahi pūʻolo ma mua o kahi mea hoʻomohala e kope ana i kahi manaʻo Stack Overflow, a i ʻole he mana wikiwiki wale nō o ka mea like?
ʻO nā mea ʻelua, ma nā ʻāpana like ʻole. ʻOi aku ka wikiwiki o ke ʻano hana, akā ʻoi aku ka laulā o ka hakahaka hilinaʻi ma ke ʻano he ʻano: ua kākau ʻia kahi pane Stack Overflow a ua loiloi ʻia e kekahi kanaka, ʻoiai ʻo kahi ʻōlelo aʻoaʻo pūʻolo i hana ʻia e AI he hopena probabilistic me ka ʻole o ka loiloi like, a ʻo ka mea hoʻomohala e kope lima ana iā ia e hoʻopili mau ana i ka nānā maʻamau a kahi ʻelele i nānā ʻole ʻia e lele loa.
He aha ka mea e pono ai no kahi SBOM e hoʻopaʻa pono i ka "ua hoʻohui kekahi ʻākena i kēia, a eia ke kumu"?
ʻO kēia lā SBOM a me ke kumu standardua kūkulu ʻia a puni ka manaʻo i hana ke kanaka i kēlā me kēia hilinaʻi decisʻoni, a ʻaʻohe o lākou kahua no ka mea nona ka ʻelele, ka mana hoʻohālike, a i ʻole ka wikiwiki i hana i kahi loli i hāʻawi ʻia. ʻO ka pani ʻana i kēlā hakahaka e pono ai kahi hoʻonui i nā ʻano hōʻoia e kū nei a i ʻole kahi ala loiloi ʻokoʻa, ʻike ʻia e ka ʻelele e hopu ana i ka deciskumu ion me ke kumu kūkulu.
Aia kekahi mana o ka "shift-left" e hana mau ana i ka wā e wikiwiki loa ai ka mea i loko o ka pipeline he ʻākena kūʻokoʻa, ʻaʻole he mea hoʻomohala?
ʻAe, akā pono ia e hoʻololi i ka wahi nānā, ʻaʻole wale i ka manawa. ʻAʻole pili ka Shift-hema i kūkulu ʻia a puni ka loiloi kanaka i ka wikiwiki o ka ʻelele; hiki i ka shift-hema i kūkulu ʻia a puni ka sandboxing, nā kapu egress, a me nā cooldowns hoʻokomo ke hopu i kahi ʻelele i hoʻopilikia ʻia ma mua o ka hiki ʻana o kāna mau hana i ka hana ʻana, no ka mea, ʻaʻole hilinaʻi kēlā mau mana i kekahi e heluhelu ana i kekahi mea.
