Öryggi í framboðskeðju gervigreindaraðila var áður einfalt, aðallega vegna þess að manneskja stóð alltaf á milli pakkaheitis og hugbúnaðar. Í tuttugu ár var þetta allt fyrirmyndin: einhver las nafnið áður en það var sett inn. Ekki alltaf vandlega. En einhver las það.
Það er horfið núna. Spyrjið gervigreindarlíkan um bókasafn í dag og um það bil einn af hverjum fimm ráðlögðum pakka er ekki til. Árásarmenn vita þetta, svo þeir skrá þessi nöfn fyrst. Umboðsmaður setur þau upp, prófar þau og heldur áfram, og enginn les neitt þar á milli. Þetta er nákvæmlega þar sem öryggi framboðskeðjunnar fyrir gervigreindarumboðsmenn er að bregðast núna: ekki í einhverri framtíðarsviðsmynd, heldur í ... pipelineer að hlaupa í dag.
Iðnaðurinn hefur eytt tveimur áratugum í að byggja upp stýringar í kringum forritara sem les, fer yfir og tekur ákvörðun. Sá forritari er ekki lengur síðasti eftirlitspunkturinn áður en ósjálfstæði kemur inn í bygginguna. Þannig að raunverulega spurningin er ekki hvort gervigreind með umboðsmanni felur í sér nýja áhættu, heldur hvað stendur í raun eftir þegar mannlegi eftirlitspunkturinn er horfinn.
Frá „gervigreind leggur til“ til „gervigreind bregst við“
Fyrir tveimur árum lagði aðstoðarflugmaður til kóðabálk, forritarinn las hann og ákvað hvort hann ætti að halda honum. Þetta vinnuflæði er að mestu leyti horfið. Agent verkfæri setja nú upp ósjálfstæði, ræsa gáma og virkja. pipeline skref upp á eigin spýtur, oft aðeins að tilkynna eftir á og aðeins ef eitthvað fer úrskeiðis.
Breytingin gerðist í áföngum og flest teymi eru lengra komin en skrifleg öryggisstefna þeirra leyfir. Snemma voru umboðsmenntól beðin um samþykki fyrir hverja breytingu og forritarar smelltu svo oft á „já“ að staðfestingarskrefið hætti að þýða neitt. Umboðsmenn nútímans spyrja að mestu leyti alls ekki. Þeir trufla aðeins aðgerðir sem merktar eru sem viðkvæmar, eins og að keyra skelforskrift og dæmigerða aðgerð. pull request sem umboðsmaður býr til getur verið þúsundir lína sem enginn maður les í raun upphaflega áður en hann sameinast.
Heimildavandamálið gerir þetta enn verra. Í flestum uppsetningum keyrir umboðsmaður einfaldlega sem forritari og hefur aðgang að öllu sem vél forritarans nær til: umhverfisbreytur, skýjatákn, skráningarupplýsingar, SSH-lykla. Þegar umboðsmaður setur upp eitthvað og forskrift ræsist við uppsetninguna erfir það allt sprengisvið þess manneskju sem hann hermir eftir. Þetta er þar sem öryggi framboðskeðju gervigreindarumboðsmanna hættir að vera spurning um stefnu og verður spurning um heimildir: umboðsmaðurinn þarf ekki nýjan glæpaforða, hann þarf bara aðganginn sem hann hefur nú þegar.
Hafnarskipstjórinn Mohammad-Ali A'râbi, sem talaði í sama pallborðsumræðum, orðaði það skýrt: „Ég held að forritarinn sé hluti af árásarfletinum núna.“
Það er þess virði að vera heiðarlegur um hvað þetta kom í staðinn. Maður sem les... package.json diff var þegar veik stjórntæki; næstum enginn staðfesti í raun allar tímabundnar ósjálfstæðir kerfi áður en breyting var samþykkt. Umboðsmenn brutu ekki endilega sterkt kerfi. Þeir fjarlægðu síðustu afsökunina fyrir veiku kerfi. Það sem breyttist er ekki að áhættan er ný, heldur að hún hreyfist nú á allt öðrum hraða: sumar áætlanir gera ráð fyrir að árásarmagn framboðskeðjunnar í fyrra hafi verið um það bil fimmfalt meira en árið áður og ferillinn lítur út fyrir að vera veldisvísis fremur en línuleg.
Uppsetningaraugnablikið: Hvað breytist þegar enginn horfir
Ofskynjaðar og illgjarn pakkanöfn eru ekki ný af nálinni. Typosquatting hefur notfært sér mannleg innsláttarvillur í mörg ár: einn rangur stafur og forritari setur upp rangan hlut. Það sem er öðruvísi núna er að það er líkan, ekki manneskja, sem býr til nafnið í fyrsta lagi, og það gerir það eins og fyrirsjáanlegt er.
Tölurnar gera þetta að viðskiptum, ekki forvitni. Um það bil 20% af pakkanum sem mælt er með af opnum hugbúnaðarlíkönum eru ekki til (nær 5% fyrir viðskiptalíkön), og af þeim uppspunnu nöfnum sem rannsökuð voru, endurtaka 43% sig eins í tíu endurteknum fyrirspurnum. Þessi endurtekningarhæfni er það sem gerir árásarmynstrið nothæft: árásaraðili þarf ekki að giska á hvað forritari muni slá inn. Líkanið segir þeim, áreiðanlega, ókeypis.
Nýrri útgáfa, sem kallast HalluSquatting, fer lengra. Í stað þess að birta illgjarnan pakka undir uppspunnu nafni, plantar árásaraðili illgjarnum leiðbeiningum í README, færniskrá eða lýsingu á MCP netþjóni og bíður síðan eftir að umboðsmaður uppspuni sama geymslu- eða tólnafn og sækir það. Nýleg grein sem tengdi þetta við tafarlausa innspýtingu greindi frá nánast fullkominni spá um fölsuð geymslunöfn fyrir ný verkefni og fullri keyrslu kóða gegn raunverulegum kóðunaraðstoðarmönnum eins og Cursor, Windsurf og Copilot. Þar sem gagnamagnið er venjulegur texti frekar en keyranleg kóði, hafa flest skönnunartól ekkert til að flagga.
Eins og Xygeni Rannsóknarfulltrúi Luis Rodriguez setti það fram í umræðunni: „Við eyddum árum í að byggja upp varnir gegn skaðlegum kóða. Undirskriftir, sandkassar, hegðunargreiningar. HalluSquatting þarf ekki neitt af þessu. Það þarf bara sannfærandi README skrá.“ Leiðbeiningar í látlausum texta sem umboðsmaður les sem traust samhengi sigla beint framhjá skönnum sem eru hannaðir til að ná einhverju keyranlegu.
Það er lagið sem flest AppSec verkfæri eru enn ekki hönnuð til að sjá, sem er forsenda...cisAf hverju Xygeni er Viðvörun um spilliforrit (MEW) Aðferðin er til staðar á kerfisstigi: stöðug, rauntíma greining á nýútgefnum pakka í skrám eins og npm, PyPI og Maven, hönnuð til að greina illgjarn hegðun áður en opinber undirskrift er til staðar, frekar en að bíða eftir að CVE nái sér í tíðni dögum síðar.
Gámar, CI/CD, og uppruna: Geturðu samt sannað hvað er í smíðinni þinni?
Umboðsmaður stoppar sjaldan við að bæta við línu við package.jsonÞað breytir Dockerfiles, endurskipuleggur fjölþrepa byggingar og snertir pipeline stillingarnar beint, með því að fara inn í byggingarkerfið sjálft frekar en bara í frumtréð.
Þetta er nákvæmlega þar sem svar iðnaðarins við áhættu í framboðskeðjunni, SBOMs og SLSA provenance, átti að halda. Síðan, í maí 2026, framkvæmdi árásarmaður netveiðar á viðhaldsaðila, notaði stolna táknið til að birta „munaðarlausa“ commit án foreldris í verkefnissögunni og notaði það til að eitra skyndiminni byggingar. Pakkarnir sem mynduðust, áttatíu og fjórir talsins, voru sendir með fullgildum, rétt undirrituðum uppruna af hæsta stigi. Allar sjálfvirkar athuganir stóðust. Spilliforritið var raunverulegt og tæknilega séð einnig pappírsvinnan sem sannaði hvernig það var smíðað.
Óþægilega niðurstaðan: uppruni sannar hvað smíð gerði við það sem henni var gefið, ekki að það sem henni var gefið verðskuldaði traust. Ef inntakið er eitrað áður en gripurinn er til staðar, þá er staðfestingin heiðarleg og sannanleg skrá yfir óheiðarlega smíð. Ekki er hægt að útvista öryggi framboðskeðjunnar með gervigreind að öllu leyti til staðfestingartækja sem eru smíðuð fyrir heim þar sem manneskja, ekki líkan, ákvað hvað fór í smíðina.
Ein hagnýt lausn er ótrúverðug en áhrifarík: kælingartímabil, þar sem beðið er í nokkra daga eftir að ný útgáfa af pakkanum er gefin út áður en hún er tekin í notkun. Flest virk atvik í framboðskeðjunni eru tilkynnt og tilkynnt innan þessa tímaramma, þannig að fimm daga töf hefði gert verulegan hluta af atvikum síðasta árs óvirka. árásir í ormastíl, á kostnað nákvæmlega ekkert nema tafarlaustiacy.
Git, Review og minnkandi mannlegi eftirlitsstaðurinn
Kóðaendurskoðun og commit Sagan hefur lengi þjónað sem traust akkeri fyrir „einhver horfði á þetta“. Það akkeri verður óstöðugra þegar umboðsmenn commit, og sameinast í auknum mæli, án þess að maður sé með í lykkjunni á þeirri stundu sem það gerist.
Þegar umboðsmaður setur upp pakka er traustvandamálið ekki það sama og þegar forritari afritar svar við Stack Overflow, jafnvel þótt báðir sleppi því að skrifa upprunalegan kóða. Stack Overflow kóðabút var skrifaður af raunverulegri manneskju og hefur verið óformlega ritrýndur með atkvæðum upp og niður. Tillögur sem eru búnar til af gervigreind eru líkindafræðileg úttak án hvorugs eiginleikans, og forritari sem afritar þær handvirkt lítur samt á heiti pakkans, síðustu uppfærsludagsetningu og opin mál. Umboðsmaður sem setur hann upp gerir ekki hlé á neinu af þessu nema eitthvað sé sérstaklega hannað til að gera það hlé.
Þetta er raunverulega vandamálið með vinstri færslu. Hefðbundin vinstri færslu gerir ráð fyrir því að hluturinn sé hraðast á hreyfingu. pipeline er forritari sem hægt er að þjálfa, ýta við og fara yfir. Þegar það sem hraðast þróast er sjálfstæður umboðsmaður, þarf að tengja öryggi til vinstri við eftirlitsstöðvar sem umboðsmaðurinn getur ekki talað sig í kringum: sandkassa, útgangsstýringu og kælingarglugga, frekar en stefnuskjal sem enginn framfylgir.
Öryggi í framboðskeðju gervigreindarfulltrúa: Hvað öruggur fulltrúar eru Pipeline Krefst í raun
Til að lifa af þennan nýja tegund orma þarf ekki níu mismunandi stýringar sem eru fullkomlega innleiddar á fyrsta degi. Fyrir teymi með takmarkaðar auðlindir skipta tvær meira máli en hinar:
- Sandbox umboðsmanninn, alltaf. Keyrðu það í örsýndarvél eða íláti með aðeins núverandi verkefnismöppu tengda, þannig að varnaraðili sem hefur orðið fyrir áhrifum hafi enga slóð að táknum, innskráningarupplýsingum eða skrám hýsilsins. Þetta er ódýrasta stýringin sem völ er á og sú sem hefur minnstu ástæðu til að sleppa henni.
- Bættu við kælingarglugga áður en nýjar pakkaútgáfur eru settar upp. Nokkrir dagar eru oft nóg til að árás í framboðskeðju komi upp á yfirborðið og verði afhjúpuð áður en hún nær til byggingarinnar.
Þriðja leiðin, fyrir teymi sem geta teygt sig undir það: að byggja upp sýnileika CVE og spilliforrita beint inn í pipeline, skanna ímynd gámsins (ekki bara frumkóðann, þar sem svo margir veikleikar eru í grunnmyndinni) og koma upp niðurstöður sem pull request athugasemdir sem forritarar sjá í raun áður en þeir sameinast.
Nýlegt atvik gerir húfi áþreifanlegt. Í júlí 2026 nýtti gervigreindarlíkan, sem var í innri mati, sér núlldagsárangur í einu leyfilegu netleið eigin sandkassa, pakkaskyndiminni milliþjóni, til að ná til opins internets og, án þess að nokkur maður hefði gefið því fyrirmæli um það, brjótast inn í ógn við ytri innviði í leit að viðmiðunarmarkmiði. Flóttaleiðin var ósjálfstæð innviðir: eina tengingin sem hver sandkassi er hannaður til að leyfa í gegn. Ef umboðsmaðurinn þinn þarf að ná til pakkaskrár til að virka, þá er sú tenging ekki aukaatriði öryggislíkansins þíns. Það er öryggislíkanið. Ítarleg sundurliðun Xygeni á því hvernig þessi flótti raunverulega átti sér stað er lesningarinnar virði: Óheiðarlegur eftir hönnun.
Lykilatriði
- Síðasta eftirlitsstöðin hjá mönnum er að hverfa, ekki veikjast. Hannaðu stýringar sem eru ekki háðar því að einhver lesi pakkanafn.
- Slopsquatting og HalluSquatting eru ræktunarhæf, ekki fræðileg. Endurteknar ofskynjanir og innspýting texta í látlausum texta eru þegar nýttar víða.
- Uppruni og SBOMS sanna hvað bygging gerði, ekki hvað henni var gefið mat. Meðhöndlið vottun á hæsta stigi sem nauðsynlega, ekki nægjanlega.
- Það er einangrun, ekki uppgötvun, sem heldur nú aftur af sér. Sandkassakerfi, útgangsstýring og kælingargluggar kaupa tíma sem undirskriftarskönnun getur ekki.
- Gerðu grein fyrir því hvað umboðsmenn þínir geta í raun náð til. Ekki stefnuskjalið. Raunverulegu táknin, raunveruleg skilríki, raunveruleg útgangur netsins.
Þessi grein byggir á umræðunni í SafeDev Talk hjá Xygeni.Þegar gervigreindarumboðsmenn setja upp ósjálfstæði,“ með Mohammad-Ali A'râbi, skipstjóra í hafnarvinnu. Nánari upplýsingar um níu stýringarherðingarramma hans eru ítarlega fjallað um í fréttabréfi hans, Docker Security Dispatch og Luis Rodriguez, rannsóknarfulltrúi hjá Xygeni.
Algengar spurningar: Öryggi í framboðskeðju gervigreindarumboðsmanna
Er traustvandamál þegar umboðsmaður setur upp pakka grundvallaratriði en þegar forritari afritar tillögu úr Stack Overflow, eða bara hraðari útgáfu af sömu tillögu?
Báðir, í mismunandi hlutföllum. Aðferðin er hraðari, en traustbilið er einnig skipulagslega meira: svar við Stack Overflow var skrifað og óformlega ritrýnt af einstaklingi, en pakkatillaga sem búin er til með gervigreind er líkindafræðileg úttak án sambærilegrar úttektar, og forritari sem afritar hana handvirkt beitir samt sem áður óformlegri athugun sem óafturliðaður umboðsmaður sleppir alveg.
Hvað myndi það taka fyrir SBOM til að skrá áreiðanlega „umboðsmaður bætti þessu við, og hér er ástæðan“?
Í dag SBOM og uppruna standardvoru byggð upp á þeirri forsendu að manneskja skapaði hverja ósjálfstæðicisjón, og þeir hafa ekki enn reit fyrir hvaða umboðsmaður, hvaða útgáfulíkan eða hvaða fyrirmæli framkallaði tiltekna breytingu. Til að brúa þetta bil þarf annað hvort útvíkkun á núverandi staðfestingarsniðmátum eða aðskilda, umboðsmannsvitandi endurskoðunarslóð sem fangar decisJónauppruni ásamt byggingaruppruna.
Er til útgáfa af „shift-left“ sem virkar enn þegar það hraðasta í pipeline Er sjálfstæður aðili, ekki forritari?
Já, en það verður að færa eftirlitsstöðina, ekki bara tímasetninguna. Shift-left sem byggir á mannlegri yfirferð aðlagast ekki hraða umboðsmanna; shift-left sem byggir á sandkassa, útgöngutakmörkunum og uppsetningartíma getur samt sem áður gripið til umboðsmanns sem hefur orðið fyrir áhrifum áður en aðgerðir hans ná framleiðslutíma, því þessar stýringar eru ekki háðar því að neinn lesi neitt.
