Nandritra ny taona vitsivitsy lasa izay, ny fiarovana ny fampiharana dia nanana fetra mazava: ny tahiry sy ny pipelineAo no misy ny fanaraha-maso, ao no anaovana ny fizahana, ary ao no anapahan'ny ekipa fanapahan-kevitra raha halefa any amin'ny famokarana ny zavatra iray. Niorina tamin'ny fiheverana iray izany rehetra izany: ny mpamorona rindrambaiko no mifidy mazava tsara hoe inona ny kaody sy izay miankina aminy hiditra ao amin'ny rafitra.
Tsy mitombina intsony izany fiheverana izany. Mitombo ny isan'ny kaody ankehitriny izay soratan'ny mpiasan'ny AI, soso-kevitra, na apetraka, matetika tsy misy mijery ny anaran'izay sintonina. RehefacisMihetsika ny ion'izay miditra ao amin'ny kaody, dia toy izany koa ny fanafihana. Mihetsika hatrany amin'ny fiandohan'ny dingana izy io: amin'ny fotoana hamoronana ny kaody, ao anatin'ny mpanampy mihitsy ary ao amin'ireo rakitra izay manamboatra azy.
Ity ny endriky ny fanafihana AI anao: ny modely rehetra, ny masoivoho, ny mpizara MCP, ny fahaiza-manao, ary ny fiankinan-doha rehetra natolotry ny AI izay mety hampiditra risika alohan'ny handinihan'ny olombelona azy. Ny AI atokisan'ny mpamorona anao dia anisan'izany ankehitriny. Tsy risika amin'ny ho avy izany. Fiovana efa nitranga izany, ary toy izao ny endriny amin'ny fampiharana.
Onjan'ny fanafihana, fa tsy tranga mitokana
Tsy misy amin'ireto manaraka ireto no fanandramana laboratoaracise na vinavina fotsiny. Ireo dia tranga ampahibemaso sy voarakitra an-tsoratra, saika tamin'ny taon-dasa avokoa, ary ny tsirairay amin'izy ireo dia mifandray akaiky kokoa amin'ny mpiasan'ny AI mihitsy:
- Aogositra 2025, s1ngularity: Nangalatra "publication token" avy amin'ny Nx, iray amin'ireo rafitra fanamboarana be mpampiasa indrindra, ireo mpanafika ary nanosika ireo dikan-teny manimba ho any amin'ny npm, mampiasa fitaovana AI hikarohana tsiambaratelo ao amin'ny milina ampiasain'ireo mpamorona rindrambaiko.
- Septambra 2025, tsaoka/fanamboarana: iray amin'ireo fifanarahana lehibe indrindra nataon'ny npm araka ny reach, fonosana 18 miaraka amin'ny fisintomana mihoatra ny roa lavitrisa isan-kerinandro, nalaina tamin'ny alàlan'ny fakana an-keriny ny kaontin'ny mpikojakoja tokana.
- Septambra 2025, Shai-Hulud: iray amin'ireo kankana voarakitra voalohany afaka miparitaka ho azy amin'ny alàlan'ny npm. Ny onja faharoa, tamin'ny volana Novambra, dia mahery vaika kokoa ary mifamatotra amin'ny tsiambaratelo naharihary tamin'ny tahiry mihoatra ny 25,000.
- Oktobra 2025, fanafarana tsy ampiasaina: anisan'ny fampielezan-kevitra PhantomRaven, izay nampidiran'ny fahitana zavatra tsy misy dikany tamin'ny alalan'ny AI malware tena izy tao amin'ny npm tamin'ny alalan'ny teknika slopsquatting.
- Amin'ity taona ity, ClawHub: rejisitry ny fahaiza-manao AI voapoizina izay nahitana malware ny dimy amin'ireo fahaiza-manao fito alaina indrindra.
Manao izany famaranana izany ihany koa ny indostria. Ny OWASP Top 10 ho an'ny fampiharana LLM dia mametraka ny fampidirana haingana ho laharana voalohany. Ny OWASP MCP Top 10 (amin'izao fotoana izao dia mbola beta) dia mikendry ireo mpiasan'ny protocole ampiasain'ny mpiasan'ny fifandraisana amin'ny fitaovana. Ny OWASP Agentic Skills Top 10, tetikasa vaovao amin'ny dingana Incubator, dia manonona ny fahaiza-manao ratsy ho toy ny risika lehibe indrindra. Matetika ny OWASP dia mihetsika amim-pitandremana; ny fanokafana lafiny telo indray mandeha, ny iray amin'izy ireo maika, dia milaza zavatra momba ny hafaingan'ny fandrosoan'izany.
Mitovy hevitra avokoa izy telo ireo: ny toromarika, ny fitaovana ary ny fikirakirana manodidina ny modely dia anisan'ny sehatra fanafihana AI ankehitriny, ary mazàna mipetraka ao anatin'ny tahiryo manokana izy ireo. Izay mametraka ny fanontaniana voalohany mendrika hapetraka amin'ny ekipanao: iza no mandinika ny rakitra fitsipika, ny fahaiza-manao ary ny fikirakirana MCP izay mipetraka ao amin'ny tahiryo?
Vector 1: ny fahaiza-manao voapoizina
Ny fahaiza-manao dia rakitra misy toromarika sy fahaiza-manao izay mampianatra ny mpiasan'ny AI ny fomba fanaovana asa iray. Tsy io ihany no fomba hamolavolana ny fitondran-tenan'ny mpiasan'ny AI (rakitra fitsipika, hooks, ary manao toy izany koa ny MCP configs), saingy mizara toetra iray izy rehetra: mandeha ao anatin'ny repository izy ireo, miaraka amin'ny code.
Nandinika fahaiza-manao miisa 4,000 ireto fikarohana ireto tamin'ity taona ity:
- 36% no nanana lesoka fiarovana iray farafahakeliny.
- 13.4% no tena nanakiana.
- Saika 100 no nanana entana ratsy fanahy avy hatrany.
Ny fiovana fototra: tsy mikendry ny kaody intsony ny mpanafika. Ny agent izay manoratra ny kaodyo no kendreny, mametraka toromarika miafina (indraindray mampiasa endri-tsoratra tsy hita maso) izay vakian'ny modely ary raisiny ho miasa. Mpandinika olombelona no manaiky ny pull request amim-pinoana tsara satria, araka ny fahitan'izy ireo azy, dia toa madio ilay rakitra. Mandika ireo toromarika tsy hitan'ny mpandinika mihitsy ilay maodely.
Tsy teorika izany. Ny CVE-2025-59536 (CVSS 8.7) dia namela ny fandefasana ny Claude Code avy amin'ny tahiry tsy azo itokisana, izay ahafahan'ny firafitra ratsy mampandeha baiko alohan'ny haneken'ny mpampiasa ny boaty fifampiresahana fitokisana. Ny fahalemena faharoa, ny CVE-2026-21852, dia namela ny fanesorana ny lakilen'ny API amin'ny alàlan'ny firafitra fehezin'ny tetikasa, tsy misy fankatoavana avy amin'ny mpampiasa.
H2: Vektera 2: fipetrahana tsy milamina
Mampifangaro ny "slop" (ilay zavatra tsy ilaina vokarin'ny AI indraindray) amin'ny fanafihana typosquatting mahazatra ny anarana. Miankina amin'ny fahadisoan'olombelona ny typosquatting: manoratra anaran'ny fonosana akaikin'ny anaran'ny malaza ny mpanafika ary miandry ny fahadisoana. Kisendrasendra izany.
Mipetraka moramora tsy miandry fahadisoana. Ao amin'ny fanadihadiana noresahina nandritra ity fivoriana ity, 19.7%-n'ny fonosana novokarin'ny modely AI no nanondro fonosana izay tsy misy. Matetika ireo maodely dia manonofy anarana mitovy foana, ka ny mpanafika dia mijery hoe anarana inona no noforonin'ny AI, manoratra ireo anarana ireo amin'ny kaody maloto, ary miandry ny fametrahana manaraka natolotry ny AI mba hisintona izany ao amin'ny fampiharanao.
Tsy kely ny habeny: Fonosana vaovao mampidi-doza maherin'ny 450,000 no hita tamin'ny taona 2025. Ohatra roa no mahatonga izany ho mivaingana:
- Nisy mpikaroka iray namboly fonosana fitsapana tsy mampidi-doza antsoina hoe firaiketam-po mba hanaporofoana ny hevitra. Noraketina tao amin'ny mihoatra ny 30,000 ny fampidinana tao anatin'ny telo volana.
- fanafarana tsy ampiasaina, araka ny fe-potoana etsy ambony, dia voamarina fa misy malware, mipetraka ao amin'ny rejisitra ho an'ny daholobe, mampiasa io teknika io mihitsy. Tsy fitsapana izany.
Ny fanontaniana dia tsy hoe mety hitranga amin'ny ekipanao ve izany. Fa ny isan'ny fonosana soso-kevitra avy amin'ny AI miditra amin'ny kaody-nao androany nefa tsy misy mijery azy ireo.
Ny valiny: standardmahatratra ny
Mihazakazaka mifanindry ny hery roa. Raha mihamafy ny fanafihana, standardmihetsika ny vatan'olombelona:
- NIST SP 800-218A manitatra ny rafitra fampandrosoana rindrambaiko azo antoka miaraka amin'ny fomba fanao manokana ho an'ny maodely AI, anisan'izany ny porofon'ny fahamarinan-toetra sy ny niandohany.
- In May 2026, CISA sy ireo mpiara-miombon'antoka iraisam-pirenena amin'ny G7 namoaka torolàlana momba ny lisitry ny fitaovana rindrambaiko ho an'ny AI, izay mamaritra izay tokony ho ao anatin'io lisitra io: modely, angon-drakitra, singa, mpamatsy ary fiankinan-doha.
Mazava ny lalana: ny SBOM mivelatra ho AI-BOM. Tsy afaka manamarina na manamarina izay tsy azonao atao lisitra ianao. Ary ankehitriny, ny ankamaroan'ny fikambanana dia tsy afaka:
- 43% tsy afaka manara-maso na manao lisitra ireo fitaovana AI efa ampiasain'izy ireo.
- 79% tsy mahita ireo mpiasan'ny AI sy ny rafitra MCP miasa ao amin'ny tontolo iainany manokana.
Ao anatin'ny tontolo voafehy, ity lisitra ity dia mifindra avy amin'ny fomba fanao tsara mankany amin'ny fanantenana araka ny fifanarahana na ny adidy amin'ny fanarahana ny lalàna. Saingy ny lisitra dia milaza aminao fotsiny izay anananao. Raha irery izy dia tsy manakana ny fanafihana.
Ny banga: EDR ho an'ny AppSec
SAST sy SCA Natao handinihana ny kaody sy ny fiankinan-doha ny fitaovana, fa tsy ny fihetsiky ny mpandraharaha na ny firafiny. BDU mahita ny fizotran'ny asa sy ny fifandraisana amin'ny tambajotra, saingy mazàna tsy ampy ny tontolon'ny fiarovana ny rindranasa mba handikana ny fiankinan-doha na ny fandrindrana ny mpandraharaha. Eo anelanelan'ireo sokajy fitaovana roa ireo dia misy elanelana, izay toerana tena namoronana ny kaody ankehitriny, ary izay tena misy ny fanafihana AI.
Misy teboka telo tsy hita maso io banga io:
- Fananana AI. Tsy miseho ao amin'ny solosainao ny modely, ny agents ary ny MCP servers SAST's na SCAradar an'i. Tsy afaka manisa izay tsy hitanao ianao.
- Rakitra fikirakirana. Ny fahaiza-manao, ny fitsipika ary ny firafitry ny MCP dia mampiasa ny fihetsiky ny mpandraharaha amin'ny endrika saingy mazàna jerena toy ny hoe lahatsoratra tsotra tsy mampidi-doza izy ireo.
- Fametrahana fonosana. A Afaka miasa ny fiankinan-doha amin'ny fomba ratsy alohan'ny hahafantarana azy ho ratsy, avy eo mamoaka tsiambaratelo sy marika nefa tsy misy mankasitraka izany.
Ahoana no hanakatonan'i Xygeni azy
Ny asan'ny EDR amin'ny endpoints, Xygeni Manao izany ho an'ny tsingerin'ny fampandrosoana ampiasan'ny AI ny Shield: miaro ny toerana namoronana ny kaody sady mahatakatra ny tontolon'ny fiarovana ny fampiharana.
- Fahitana izay misy SAST sy SCA tsy mahatratra. Manamarina ny fahaiza-manao ratsy sy ny rakitra mifehy ny Xygeni, mamakafaka ny fikirakirana MCP, ary manorina rafitra vonona ho an'ny fanaraha-maso. AI-BOM, tafiditra ao anatin'ny lisitry ny OWASP LLM, MCP, ary Agentic Skills Top 10s.
- Faharanitan-tsaina, fa tsy sonia fotsiny. Ny MEW (Malware Early Warning) dia mamakafaka ny fitondran-tena sy ny mety ho loza ateraky ny fonosana iray hanakanana azy alohan'ny hisian'ny CVE, torohevitra, na sonia ampahibemaso. Ny tambajotra vaovao dia manapaka ny fifandraisana amin'ny fotodrafitrasa fantatra fa misy ratsy.
- Teboka fanaraha-maso iray, manomboka amin'ny kaody mankany amin'ny teboka farany. Mpiandraikitra tokana, napetraka tsy mila manova ny tontolo iainana, miaraka amin'ny fiandrianam-pirenen'i Eoropa sy ny porofon'ny fanarahan-dalàna.
Tao anatin'ny fampisehoana mivantana, ity fampiharana ny politika ity dia nanakana ny fiezahan'ny mpiasan'ny AI hametraka fonosana manimba amin'ny alàlan'ny lalana fametrahana telo samihafa (tontolo virtoaly, mpitantana fonosana, ary fampidinana mivantana) talohan'ny nahavitan'ny fametrahana, izay voarakitra an-tsoratra mivantana ary azo aondrana any amin'ny SOC. Ny fampidirana tetikasa voalohany dia mazàna maharitra adiny iray eo ho eo; ny fanitarana ny fandrakofana manerana ny fikambanana iray manontolo dia mazàna maharitra herinandro ka hatramin'ny roa, miankina amin'ny rafitra.
FAQ
Inona ny velaran'ny fanafihana AI ao anaty fehintsoratra iray?
Ny velaran'ny fanafihana AI dia andiana modely, agents, mpizara MCP, fahaiza-manao, rakitra fitsipika, ary fiankinan-doha natolotry ny AI izay ahafahan'ny risika miditra amin'ny fampiharana, matetika alohan'ny handinihan'ny olombelona azy. Mihoatra lavitra noho ny kaody sy fiankinan-doha nentim-paharazana izany mba hampidirana ireo rakitra fikirakirana sy toromarika izay mamolavola ny fomba fitondran-tenan'ny agents AI.
Ahoana no ahafahako mahafantatra raha toa ka nofinofy fotsiny ny anaran'ny fonosana naroson'ny mpanampy ahy amin'ny AI sa ara-dalàna nefa tsy fantatro?
Hamarino tsara alohan'ny hametrahana azy: jereo ny rejisitra ary diniho tsara ny votoatin'ny fonosana sy ny tanjony fa aza matoky ny anarany fotsiny. Manao izany fanamarinana izany ho azy ny Xygeni mandritra ny famoronana kaody, ka ekena na sakanana ny fametrahana alohan'ny handehanany, na fantatrao na tsia ilay fonosana.
Mitovy ve ny fiantraikan'ny fampiasana tsy ara-dalàna ny modely AI rehetra?
Ny fikarohana tao ambadiky ny tarehimarika 19.7% dia nandrakotra modely maro ary nahita fa miely patrana ny olana, miaraka amin'ny fiovaovana kely eo amin'izy ireo. Lamina manerana ny fampandrosoana tohanan'ny AI izany, fa tsy lesoka manokana ho an'ny mpanampy iray.
Afaka manamarina avy hatrany ve isika raha efa nametraka fonosana nofinofy na rindrambaiko mampidi-doza?
Eny. Ny sehatra Xygeni dia manome ny mpanjifa fidirana amin'ny tahiry angon-drakitra voatahiry misy ireo fonosana mampidi-doza hita, azo karohina amin'ny lisitry ny singa efa misy, mba hahafahanao manamarina amin'ny tsindry vitsivitsy raha toa ka misy fandrahonana fantatra fa misy zavatra efa napetraka.
Hafiriana no ilaina amin'ny fanatanterahana izany ho an'ny fikambanana antonony misy ekipa maromaro?
Maharitra adiny iray eo ho eo ny fanombohana tetikasa voalohany. Ny fanitarana azy manerana ny fikambanana iray manontolo dia mazàna maharitra herinandro iray na roa, miankina amin'ny rafitry ny ekipa sy ny fomba fiasan'izy ireo.
Sarintany maimaim-poana ny velaran'ny fanafihanao amin'ny alalan'ny AI
Sarintany maimaim-poana ny dian-tongotry ny AI amin'ny fampiharanao: mamorona kaonty ary Manaova scan voalohany ao anatin'ny minitra vitsyAtombohy amin'ny fampiharana tokana, jereo izay AI ao anatiny, ary jereo hoe inona amin'ny velaran'ny fanafihana AI no mampidi-doza.
*Ny sasany amin'ireo fahaiza-manao voalaza etsy ambony dia ampiharina amin'ny alàlan'ny Xygeni Shield sy ny ASPM/Môdioly fiarovana AI; mety miovaova arakaraka ny drafitra ny fisiany. Jereo xygeni.io ho an'ny antsipirian'ny vokatra ankehitriny.
