TL; DR
Gli agenti IA ora sono in esecuzione npm install senza l'intervento umano. Per quindici anni, la sicurezza dei pacchetti npm si basava sul presupposto che uno sviluppatore si fermasse, leggesse il nome del pacchetto e decidesse. Gli assistenti di programmazione agentici riducono questo processo a un unico passaggio autonomo, eliminando l'unico punto di controllo su cui si basavano la maggior parte dei programmi di sicurezza.
La superficie d'attacco si è mossa prima che le difese si organizzassero. Una ricerca condotta su sedici LLM ha rilevato che quasi un pacchetto consigliato su cinque non esisteva: oltre 200,000 nomi fittizi unici, molti dei quali ricorrenti in richieste ripetute e quindi sfruttabili. Allo stesso tempo, una vulnerabilità critica del bridge MCP (oltre 437,000 download) consentiva l'esecuzione completa di codice remoto (RCE) nel momento in cui un agente si connetteva a un server non attendibile. L'agente decideva ed eseguiva in un unico passaggio, senza alcuna pausa.
Il rilevamento e l'applicazione delle norme devono essere automatici, ogni volta, indipendentemente da chi ha avviato l'installazione. MEW guarda il registro — Scansione continua di npm, PyPI e Maven, con individuazione di pacchetti dannosi tramite analisi comportamentale prima ancora che sia disponibile una firma pubblica. Shield guarda l'installazione — intercettando il traffico del gestore di pacchetti a livello di sistema operativo e applicando le policy della tua organizzazione prima che qualsiasi dato raggiunga il disco, in pochi millisecondi, indipendentemente dal fatto che la richiesta provenga da un terminale o da un agente autonomo.
La sicurezza dei pacchetti npm è solo una parte di un cambiamento più ampio: Gli stessi agenti che gestiscono l'installazione sono risorse di intelligenza artificiale che la maggior parte delle organizzazioni non ha catalogato. Xygeni AI Security chiude quel ciclo: scopri, valuta, correggi. MEW è incluso nel piano gratuito per sviluppatori.
Per quindici anni, la sicurezza dei pacchetti npm ha dato per scontato una cosa: un essere umano sedeva tra il decisUn'idea è quella di aggiungere una dipendenza e salvarla sul disco. Qualcuno digita il nome del pacchetto; qualcuno preme Invio. Questa supposizione sta scomparendo silenziosamente, proprio nel momento in cui npm è diventato l'ecosistema di pacchetti più preso di mira nella storia della catena di fornitura del software: tre gravi incidenti nella catena di fornitura in otto mesi, un worm auto-propagante che ha trasformato gli sviluppatori nel meccanismo di distribuzione e un pacchetto scaricato 100 milioni di volte a settimana compromesso da malware di uno stato nazionale.
La ricca storia di npm, ancor prima che l'intelligenza artificiale entrasse in scena.
npm era già l'ecosistema verso cui gravitavano gli aggressori, e gli ultimi dodici mesi dimostrano il perché. Settembre 2025, Shai-Hulud è diventato il primo worm auto-propagante a diffondersi tramite npm, trasformando gli sviluppatori stessi nel meccanismo di distribuzione. Marzo 2026, axios, un pacchetto scaricato più di 100 milioni di volte a settimana, è stato compromesso con malware di uno stato nazionale nascosto al suo interno. Un mese dopo, un quasi identico Il pattern worm ha colpito nuovamente l'ecosistema npm tramite i pacchetti SAP, Lo stesso schema, ripetuto su larga scala. Tre incidenti gravi in otto mesi, tutti in un unico registro. Questa è la situazione di partenza. Gli agenti di intelligenza artificiale cambiano ciò che accade dopo.
È anche ciò di cui parleremo sul campo a Giornata OWASP tedesca 202623-24 settembre a Karlsruhe. Maggiori dettagli alla fine!
Cosa cambia quando l'installazione non viene eseguita da una persona?
Gli assistenti di programmazione automatizzati non si limitano più a suggerire codice. Sempre più spesso, decidono che è necessaria una dipendenza, scelgono un pacchetto ed eseguono l'installazione, a metà dell'attività, senza che un essere umano legga prima il nome del pacchetto. Due aspetti del loro modo di operare dovrebbero preoccupare qualsiasi team che si affidi alle pratiche di sicurezza dei pacchetti npm, concepite per un mondo in cui è previsto l'intervento umano.
- Gli agenti hanno allucinazioni nomi di pacchetti, e gli aggressori lo sanno. Una vasta ricerca accademica ha generato oltre due milioni di campioni di codice attraverso sedici modelli di apprendimento automatico (LLM) e ha scoperto che quasi un pacchetto su cinque tra quelli consigliati non esisteva affatto, per un totale di oltre 200,000 nomi illeggibili unici. Peggio ancora, i ricercatori hanno scoperto che gli stessi nomi illeggibili si ripetevano in diverse richieste, il che significa che sono sfruttabili: un attaccante può registrare il nome che un modello di intelligenza artificiale ha statisticamente maggiori probabilità di suggerire prima di chiunque altro e aspettare.
- L'installazione stessa è diventata un vettore di attacco. Una vulnerabilità critica in un bridge MCP ampiamente utilizzato, scaricato più di 437,000 volte, consentiva l'esecuzione completa di codice in remoto nel momento in cui un client si connetteva a un server MCP non attendibile, il tipo di connessione che un agente autonomo può stabilire da solo. Il tradizionale controllo di sicurezza dei pacchetti npm, in cui una persona si ferma a esaminare ciò che sta per eseguire, non esiste in questo flusso di lavoro. L'agente decide ed esegue nello stesso passaggio.
Due livelli di sicurezza dei pacchetti npm che non dipendono da un rilevamento umano
È qui che la sicurezza dei pacchetti npm deve passare da "lo sviluppatore legge attentamente" a "la piattaforma decide automaticamente, ogni volta". Xygeni AI Security affronta questo problema con due livelli distinti.
- MEW (Malware Early Warning) controlla il registro stesso. Analizza continuamente i pacchetti appena pubblicati su npm, PyPI e Maven, segnalando quelli dannosi tramite analisi comportamentale, non tramite corrispondenza delle firme. Ciò significa che individua il malware prima ancora che ne esista una firma pubblica. I pacchetti segnalati vengono analizzati, confermati e segnalati al registro pubblico per contribuire a bloccarne l'ulteriore distribuzione. Questo vale sia per i pacchetti aggiunti manualmente da uno sviluppatore, sia per quelli selezionati automaticamente da un agente, poiché MEW non si preoccupa di chi ha avviato l'installazione, ma di cosa fa il pacchetto. È inoltre incluso nel piano Developer gratuito di Xygeni.
- Shield applica le policy esattamente nel momento in cui avviene l'installazione. Intercetta il traffico npm, PyPI e Maven a livello di sistema operativo, in modo trasparente, senza richiedere alcuna riconfigurazione del gestore di pacchetti. Ogni installazione viene verificata rispetto alle policy della tua organizzazione prima che il pacchetto raggiunga il disco e prima che venga eseguito qualsiasi script di installazione. E poiché Shield attributi ogni decisIndipendentemente dal processo, PID, eseguibile e riga di comando esatti che lo hanno richiesto, non importa se la richiesta provenga dal terminale di uno sviluppatore o da un agente in esecuzione autonomamente in background, la policy si applica allo stesso modo, ogni volta.cisGli ioni vengono risolti in pochi millisecondi dalla cache, quindi non rallentano nessuno, né umano né agente.
Insieme, si tratta di rilevamento a livello di registro e applicazione in fase di installazione, coprendo i due momenti in cui il rischio legato ai pacchetti npm si concretizza.
Questa è la discussione sulla sicurezza dell'IA, non una nota a margine.
La sicurezza dei pacchetti npm è solo una parte visibile di un cambiamento più ampio: L'intelligenza artificiale è ormai parte integrante della superficie di attacco., non è solo uno strumento utilizzato dagli sviluppatori. Gli stessi modelli, agenti e server MCP che decidono di eseguire un npm install sono risorse di IA gestite dalla tua organizzazione e, nella maggior parte dei casi, non completamente inventariate. Xygeni Sicurezza AI scopre tali risorse, valuta il loro rischio rispetto alla OWASP Top 10 per le applicazioni LLM e, attraverso DeviAI, corregge il codice vulnerabile, generato dall'IA o scritto da esseri umani, all'interno dell'IDE prima della sua distribuzione. Abbiamo scritto di più su questa struttura di scoperta-rilevamento-correzione e sul perché la sola scoperta non è sufficiente in un post correlato su Gestione della postura di sicurezza dell'IA.
Xygeni alla Giornata OWASP tedesca 2026
Porteremo questa stessa conversazione a Karlsruhe. Xygeni è uno sponsor di Giornata OWASP tedesca 2026, L'esecuzione di Settembre 23-24 presso la IHK Haus der Wirtschaft, insieme a circa 200 professionisti della sicurezza delle applicazioni provenienti da tutta la Germania e dalla regione.
Parleremo della sicurezza dei pacchetti npm in un mondo agentico: cosa MEW e Shield catturare effettivamente, cosa l'attuale MCP e I dati sulle minacce di slopsquatting si presentano così:e come l'IA generata code security si inserisce in un programma già in esecuzione SAST, SCAe la scansione dei segreti piuttosto che rimanere in disparte.
Nella stessa settimana, siamo anche a OWASP AppSec Days Portogallo 2026 a Porto, dove saremo sponsor Gold e parleremo in modo più approfondito della gestione della postura di sicurezza basata sull'IA. Qualunque sia l'evento più adatto al tuo calendario, saremo lieti di parlarne!
MEW (Avviso Antimalware di Xygeni) È disponibile nel piano gratuito Developer, senza bisogno di carta di credito. Copre npm, PyPI e Maven, segnala i pacchetti dannosi tramite analisi comportamentale prima ancora che esista una firma pubblica e si applica a ogni installazione, indipendentemente dal fatto che sia stata avviata da uno sviluppatore o da un agente.
FAQ
- Perché la sicurezza dei pacchetti npm deve cambiare a causa degli agenti di intelligenza artificiale?
La maggior parte delle pratiche di sicurezza dei pacchetti npm presuppone che un essere umano esamini il nome di un pacchetto prima di installarlo. Gli assistenti di programmazione automatizzati possono selezionare e installare una dipendenza nello stesso passaggio, senza alcuna revisione umana intermedia, eliminando così il punto di controllo su cui si basava tale pratica. Il rilevamento e l'applicazione delle policy devono avvenire automaticamente, a livello di registro e al momento dell'installazione, indipendentemente da chi o cosa abbia avviato l'installazione.
- Qual è la differenza tra MEW e Shield?
MEW monitora il registro: analizza i pacchetti npm, PyPI e Maven appena pubblicati e segnala i comportamenti dannosi prima che esista una firma pubblica. Shield Monitora l'installazione: applica le policy della tua organizzazione a livello di sistema operativo nel momento in cui viene richiesta l'installazione di un pacchetto, bloccandola prima che raggiunga il disco se viola le policy. Una è la rilevazione in fase di pubblicazione; l'altra è l'applicazione in fase di installazione.
- Questo sostituisce SCA scansione?
No. Il sistema di triage, spiegazione e correzione basato sull'IA di Xygeni si applica ai risultati degli scanner di Xygeni e ai risultati acquisiti da terze parti. SCA e gli strumenti di sicurezza delle applicazioni sono già presenti, quindi il rischio dei pacchetti npm viene gestito senza dover rimuovere gli strumenti esistenti.
- Dove posso parlare con Xygeni a riguardo?
Xygeni sarà presente all'OWASP Day tedesco 2026, che si terrà a Karlsruhe il 23 e 24 settembre, dove parlerà di sicurezza dei pacchetti npm e di sicurezza dell'IA. Saremo inoltre sponsor Gold dell'OWASP AppSec Days Portogallo 2026, che si svolgerà nella stessa settimana a Porto.
