Tao anatin'ny fanadihadiana voafehy natolotra tao amin'ny Fiarovana USENIX 2025, nangataka modely fiteny lehibe miisa 16 ireo mpikaroka mba hamorona santionan-kaody miisa 576,000. Saika ny iray amin'ny dimy amin'ireo fonosana open-source natolotry ireo modely ireo no tsy nisy: anarana fonosana sandoka miavaka miisa 205,474, noforonina avy amin'ny tsy misy. Ho mahaliana izany raha kisendrasendra izany. Tsy izany mihitsy. Telo amby efapolo isan-jaton'ireo anarana nofinofy no niseho imbetsaka tamin'ny alalan'ny fangatahana miverimberina. Tsy voatery maminavina izay hoforonin'ny mpanampy amin'ny kaody ireo mpanafika. Afaka mijery, miandry ary misoratra anarana aloha izy ireo.
Izany no olana fototra amin'ny Fiarovana ny rojo famatsiana AI tao anatin'ny andrana iray: ny AI mitovy izay manafaingana ny fampivoarana rindrambaiko dia lasa fidirana azo vinavinaina sy azo ampiasaina. Ny fanontaniana ho an'ny ekipa fiarovana dia tsy hoe mikasika ny rojo famatsiana rindrambaiko intsony ny AI. Fa ny hoe afaka mahita izay ataony amin'ny andaniny roa amin'ny ady ve ianao: ny AI manoratra ny kaody anao, ny AI miaro ny anao pipeline, ary ny AI izay manondro azy roa tonta dia omen'ny mpanafika iray.
Inona no atao hoe fiarovana amin'ny rojo famatsiana AI?
Ny fiarovana ny rojo famatsiana AI dia fomba fanao amin'ny fiarovana ny rojo famatsiana rindrambaiko amin'ny risika ateraky ny faharanitan-tsaina artifisialy, ary ny fampiasana AI hiarovana io rojo famatsiana io ihany. Eo amin'ny fihaonan'ny fironana roa izay mbola karakarain'ny ankamaroan'ny programa fiarovana misaraka izy io: kaody novokarin'ny AI miditra ao amin'ny codebase, ary fanafihana ampiasain'ny AI mikendry ny fiankinan-doha, manorina pipelines, ary ireo fitaovan'ny mpamorona rindrambaiko manodidina azy.
Ny fiarovana ny fampiharana nentim-paharazana dia manontany raha misy fahalemena fantatra ao amin'ny singa fantatra. Ny fiarovana ny rojo famatsiana AI dia mametraka fanontaniana sarotra kokoa sy haingana kokoa: Tena misy ve ity fiankinan-doha vao napetraky ny agent AI ity, sa nofinofy fotsiny? Moa ve ity fonosana vao navoaka ity mitondra tena ratsy, na dia mbola tsy misy sonia ho azy aza? Inona avy ireo modely, agent ary fifandraisana AI miasa mandritra ny tsingerin'ny fampandrosoana rindrambaiko, ary inona no azon'izy ireo tratrarina?
Ny famaliana ireo fanontaniana ireo amin'ny hafainganam-pandeha alefa no tena zava-dehibe.
Ahoana no nahatonga ny AI ho sehatra fanafihana amin'ny rojo famatsiana
Nijanona tsy nanao andrana tamin'ny AI intsony ireo mpanafika fotoana vitsy lasa izay. Ankehitriny dia manorina izany ho asa mikendry mivantana ny kaody sy ny zavatra iankinan'izany izy ireo, fa tsy ny boaty fidirana sy login pejy.
Slopsquatting: fampiasana ny zavatra noforonin'ny AI ho fitaovam-piadiana
Manana anarana izao ny teknika: mipetrapetraka tsy misy ilana azy, noforonin'i Seth Larson, mpamorona rindrambaiko fiarovana ao amin'ny Python Software Foundation tamin'ny Aprily 2025. Tsotra sy henjana ny fomba fiasa. Matetika ireo mpanampy amin'ny kaody AI dia manoro anarana fonosana izay tsy misy. Satria miverimberina ireo fahitana tsy nahy ireo, dia afaka misoratra anarana ho fonosana tena izy sy mampidi-doza ny mpanafika ary miandry ny mpamorona manaraka (na ny masoivoho mahaleo tena manaraka) hametraka azy.
Efa voarakitra an-tsoratra ny zava-nitranga teo aloha. Tamin'ny taona 2023, mpikaroka momba ny fiarovana Bar Lanyado namoaka fonosana toerana foana teo ambanin'ny anarana izay matetika no nofinofin'ireo modely, firaiketam-poTao anatin'ny telo volana dia efa nisy naka mihoatra ny in-30,000 izy io, ary niseho tao amin'ny tahiry ho an'ny daholobe README avy amin'ny orinasa teknolojia lehibe iray mihitsy aza ilay baiko fametrahana nofinofy. Fitsapana tsy mampidi-doza izany. Ilay boky torolalana mitovy amin'ny entana tena izy dia maodely ara-barotra azo averina ho an'ny mpanafika ankehitriny.
Manaratsy kokoa izany ireo "agent" mpamorona kaody tsy miankina amin'ny fanjakana amin'ny fanesorana ny "checkpoint" farany nataon'olombelona. Ny "agent" izay mametraka "dependencies" tsy misy famerenana dia manafoana ny fotoana iray izay mety ho nahatsikaritra ny mpamorona fa toa diso ny fonosana.
Fonosana manimba amin'ny ambaratonga indostrialy
Tetika iray ao anatin'ny fiovana lehibe kokoa ny slopsquatting. Amin'ny taona 2025, fampielezan-kevitra fonosana ratsy be dia be lasa modely fototra ho an'ny fanafihana amin'ny rojo famatsiana, satria ny an'i Xygeni Fironana vaovao amin'ny fanafihana AppSec ho an'ny taona 2026 antontan-taratasy. Nampiasa ny toekarena spam ireo mpanafika: mamoaka fonosana manimba an'arivony, manaiky ny fanesorana haingana, ary miantehitra amin'ny mety ho azo atao fa tsy ny fikirizana. Manana fonosana manimba vaovao an'hetsiny isan-taona ny rejisitra ho an'ny daholobe ankehitriny, ary na dia ny varavarankely fohy aza dia mandoto ny fananganana manaraka.
MCP: sosona fifandraisana vaovao, izay tsy dia azo antoka loatra
Ny Model Context Protocol (MCP) dia ahafahan'ny mpiasan'ny AI mifandray amin'ny fitaovana sy loharanon-drakitra. Mamorona sehatra fanafihana vaovao izay tsy jeren'ny ankamaroan'ny scanner mihitsy koa izy io. Ny mpizara MCP ratsy fanahy dia afaka mipetraka tsy hita maso eo akaikin'ny mpizara ara-dalàna, izay azon'ny mpizara rehetra miditra. Navoakan'ny OWASP ny MCP Top 10 tamin'ny taona 2025 mba handaminana ireo risika ireo, manomboka amin'ny tsindrona haingana sy ny fanapoizinana amin'ny fitaovana ka hatramin'ny mpizara tsy voamarina izay azon'ny masoivoho rehetra ao amin'ny tambajotra tratrarina.
Mivoaka amin'ny alalan'ny kaody novokarin'ny AI ny tsiambaratelo
Nitombo 160% teo ho eo ny fahazoan-dàlana voahodinkodina tamin'ny taona 2025 raha oharina amin'ny taona 2024, araka ny Check Point External Risk Management (teo aloha Cyberint), tarihin'ny ampahany amin'ny phishing nohatsaraina tamin'ny AI sy ny malware infostealer. Ao amin'ny tontolo rindrambaiko, izay mifandray mivantana amin'ny lakile sy tokens voaaro ao amin'ny kaody novokarin'ny AI. Mpanampy kaody izay nandray a .env Ny rakitra ao anatin'ny teny manodidina azy dia afaka mamerina tsiambaratelo ao anaty soso-kevitra, ary mikaroka izany lamina izany ireo mpanafika.
Tsy nanjavona koa ny lafiny maha-olombelona. Ny Tatitra momba ny Vidin'ny Fiparitahan'ny Angon-drakitra 2025 an'ny IBM dia nahita fa tamin'ireo fandikan-dalàna mahakasika ny AI, 37% no nampiasa phishing novokarin'ny AI ary 35% no nampiasa fisandohana ho deepfake, teknika izay mikendry hatrany ireo mpamorona rindrambaiko amin'ny alàlan'ny fanentanana ireo mpikarama sandoka sy kaonty mpitazona angon-drakitra sandoka.
Ahoana no iarovan'ny AI ny rojo famatsiana
Ireo fahaiza-manao izay mahatonga ny AI ho mampidi-doza no tena mahatonga azy io ho ilaina ho an'ny mpiaro. Ao amin'ny rojo famatsiana, io fifanakalozana io dia miharihary indrindra amin'ny toerana efatra.
Fitihana malware alohan'ny sonia
Ity no fahaiza-manao mamaritra. Ny scan nentim-paharazana dia miandry sonia fantatra fa ratsy alohan'ny ahafahany manamarika fonosana iray, izay miadana loatra amin'ny rafitra ho an'ny fanafihana izay manangona fisintomana an'arivony ao anatin'ny ora vitsy aorian'ny famoahana azy. Ny fitadiavana mifototra amin'ny fitondran-tena kosa dia manome isa ny fonosana vao navoaka raha vao miseho izy: ny fihetsika ataony amin'ny fotoana fametrahana, ny antso an-tambajotra, ny lamina fanakorontanana, ary ny tsy fetezan'ny metadata. Izany dia manidy ny varavarankely izay iankinan'ny fampielezan-kevitra momba ny slopsquatting sy ny typosquatting. Ny fampielezan-kevitra Shai-Hulud sy GlassWorm npm tamin'ny faramparan'ny taona 2025, izay tsy hitan'ny mpitsikilo mifototra amin'ny sonia mihitsy, dia efa mialoha.cisNy fanadihadiana momba ny fitondran-tenan'ny tranga dia natao mba hisamborana.
Fanomezana laharam-pahamehana araka ny fahafahana mampiasa azy, fa tsy ny habetsahany
Ny fandraisana anjara azo ampiharina indrindra amin'ny AppSec maoderina dia tsy ny fitadiavana olana bebe kokoa; fa ny fampihenana ny tabataban'izay efa hita. Ny famakafakana ny fahafaha-manatratra dia mamaritra raha tena tanterahina tokoa ny lalan'ny kaody marefo. Ny fanombanana ny fahafaha-manatratra dia mandanja ny angon-drakitra fanafihana tena izy amin'ny isa CVSS manta. Miaraka izy ireo dia mamela ny ekipa hifantoka amin'ny ampahany amin'ny zavatra hita izay maneho ny risika tena izy sy azo ampiasaina fa tsy ny fandrefesana ireo fanairana ambany an'arivony amin'ny tanana.
Fitihana tsy fetezana eo amin'ny pipeline ambaratonga
In Fanadihadiana momba ny Toe-javatra misy ny Fiarovana An-tserasera AI 2026 nataon'ny Darktrace, ireo mpitarika ny fiarovana dia nanondro ny fitadiavana fandrahonana sy ny fijerena ireo tsy fetezana (72%) ho sehatra izay ahazoan'ny AI fiantraikany betsaka indrindra, alohan'ny valiny mandeha ho azy (48%) sy ny fitantanana ny fahalemena (47%). Ampiharina amin'ny CI/CD, midika izany fa manome marika ny script fametrahana izay mitondra tena tsy mitovy amin'ny zavatra efa hita teo aloha tao amin'io pipeline, na fanavaozana ny fiankinan-doha izay mampiditra antso an-tambajotra tsy ampoizina.
Fanamboarana mandeha ho azy, azo averina jerena
Ankoatra ny fitadiavana sy fandaminana ny risika, ny AI izao dia mamorona ny vahaolana: fanovana kaody azo antoka sy manokana ho an'ny rafitra natolotra ho toy ny pull request fa tsy tapakila lo ao anaty tahiry efa tonta. IBM Hitan'ireo fikambanana mampiasa AI sy automation betsaka amin'ny asa fiarovana fa nampihena ny tsingerin'ny androm-piainany amin'ny fanitsakitsahana ho 204 andro, raha oharina amin'ny 284 andro ho an'ireo tsy nanao izany (eo amin'ny 80 andro haingana kokoa), sady mitsitsy eo amin'ny $1.9 tapitrisa isaky ny fanitsakitsahana. Ny famantarana ny risika nefa tsy manidy azy dia mamindra fotsiny ny asa efa vita; ny fampiarahana ny triage AI amin'ny fanamboarana novokarin'ny AI dia mamarana ny tadivavarana.
Ny banga eo amin'ny fitantanana izay tsy mbola voahidy ny ankamaroan'ny ekipa
Ity ny ampahany tsy mahazo aina. Ny fanadihadiana nataon'ny Darktrace tamin'ny taona 2026 dia nahita fa 77% amin'ireo fikambanana no mampiasa AI generative ao amin'ny fiarovana azy ireo, saingy 37% ihany no manana politika ofisialy momba ny fampiasana AI azo antoka. Nihena raha oharina amin'ny 45% tamin'ny taona lasa io tarehimarika io. Mihoatra ny fitantanana ny fampiasana azy, ary manararaotra ny banga ireo mpanafika.
Ho an'ny ekipa rindrambaiko, dia miseho mazava tsara izany: efa miasa manerana ny SDLC, matetika tsy misy fahitana afovoany momba izay idirany na izay nampidiriny. Ny ankamaroan'ny fikambanana dia afaka manonona ny mpamatsy rahona azy ireo. Vitsy dia vitsy no afaka manonona ny modely AI, ny agent, ary ny mpizara MCP rehetra azo tratrarina avy amin'ny milina mpamorona. Io lisitra io, ny AI Bill of Materials (AI-BOM), no fototra iorenan'ny fiarovana ny rojo famatsiana AI sisa. Tsy afaka miaro izay tsy notehirizinao ianao.
Izay tokony hataon'ny ekipa AppSec izao
The fahatapahan'ny angon-drakitra antonony mitentina $4.44 tapitrisa tamin'ny taona 2025 (IBM), ary ny rojo famatsiana dia miha-iray amin'ireo teboka fidirana. Ny valiny azo ampiharina dia tsy ny "fampiasana AI" amin'ny ankapobeny. Lisitra fohy sy mivaingana izany:
- Manaova lisitra izay AI miasa ao amin'ny solosainao SDLC. Fananana ny modely, ny agents, ny mpizara MCP, ary ny fitaovana fanoratana kaody AI. Amboary aloha ny AI-BOM.
- Hevero ho toy ny kaody nosoratan'olombelona ny kaody novokarin'ny AI. Tsy azo antoka ho azy ny kaody izay manangona, ary mendrika ny hojerena mitovy amin'ny zavatra hafa rehetra ny fiankinan-doha aminy.
- Fantaro amin'ny alalan'ny fihetsika fa tsy amin'ny sonia ny malware. Miadana loatra ara-drafitra ny scan mifototra amin'ny sonia ho an'ny fampielezan-kevitra fonosana be dia be sy fohy ezaka.
- Ataovy laharam-pahamehana araka ny fahafahana ampiasaina, fa tsy araka ny habetsahan'ny fanairana. Ny lanjan'ny AI miaro tena dia ny manasaraka ny tena risika amin'ny tabataba, fa tsy ny miteraka izany bebe kokoa.
- Manaova fanarenana mandeha ho azy, fa tsy fitadiavana fotsiny. Ny fitadiavana tsy misy vahaolana dia mamindra fotsiny ny entana efa lany any an-kafa.
Aiza no alehan'ny fiarovana ny rojo famatsiana AI
Lamina roa no hamaritra ny taona vitsivitsy ho avy. Voalohany, lasa azo vinavinaina amin'ny ambaratonga lehibe kokoa ny fanafihana fa tsy kisendrasendra: miasa mialoha ny fanaovana "slopsquatting"cisSatria tsy miovaova ny fahitana zavatra tsy misy amin'ny alalan'ny AI, izay midika fa tsy maintsy mifindra avy amin'ny sonia indray mandeha mankany amin'ny famantarana lamina izay mizana mba hifanaraka ny fiarovana. Faharoa, mifindra avy amin'ny "fampitandremana olombelona" mankany amin'ny "famantarana, isa ary valiny alohan'ny hisian'ny tapakila" ny fiarovana. Ireo fikambanana mahazo tombony dia ireo izay mahatsikaritra ny fihetsiky ny fonosana ratsy fanahy amin'ny fotoana famoahana, fa tsy miandry ny hanoratana CVE.
Ny AI no risika vaovao indrindra ho anao sy ny fiarovanao tsara indrindra, matetika ao anatin'ny rafitra iray ihany
Mitarika amin'ny lafiny roa indray miaraka ny AI. Manome fitaovana azo ovaina sy mandeha ho azy ho an'ny mpanafika izy io, ary manome ny mpiaro ny fahafahana mamantatra sy mamaly amin'ny ambaratonga lehibe izay tsy vitan'ny fandinihana tanana mihitsy. Izany fahasamihafana roa izany no mahatonga ny fiarovana ny rojo famatsiana AI tsy azo fehezina na raràna tanteraka.
Io no elanelana Xygeni naorina mba hikatona. Fampitandremana mialoha momba ny rindrambaiko maloto (MEW) manara-maso tsy tapaka ny rejisitra ho an'ny daholobe sy tsy miankina ary mamantatra ireo fonosana manimba raha vao avoaka izy ireo, alohan'ny hisian'ny sonia, amin'ny fampiasana didim-pitsarana AI nohamarinin'ny ekipa mpikaroka olombelona. Xygeni Shield Mampiasa io faharanitan-tsaina io eo amin'ny faran'ny mpamorona: manakana ireo fonosana manimba amin'ny fotoana fametrahana alohan'ny hiasan'ny script-ny, ary manangona ireo fitaovana AI, agents, ary mpizara MCP amin'ny milina tsirairay. Namboarina manokana ho an'ireo fandrahonana voalaza ato amin'ity lahatsoratra ity izy ireo: slopsquatting, typosquatting, confusion dependence, ary maintainer compromise, anisan'izany ny Shai Hulud ary ireo kilasy fanafihana GlassWorm dia tsy nahitana fitaovana mifototra amin'ny sonia. Miaraka amin'ny laharam-pahamehana mifototra amin'ny fahafaha-manatratra, AI-BOM manerana anao SDLC, ary ny fanamboarana fangatahana misintona mandeha ho azy, kaody novokarin'ny AI ary Fanafihana ampiasain'ny AI mahazo fanaraha-maso mitovy amin'izany, nefa tsy mampihena ny fahombiazan'ny mpamorona.
Atombohy maimaim-poana. €0 ny drafitry ny mpamorona an'ny Xygeni: 10 tahiry, scan 200 isam-bolana, hatramin'ny mpandray anjara 5, tsy misy carte de crédit. Sign up with GitHub, GitLab, na Google ary ataovy ao anatin'ny 10 minitra latsaka ny scan voalohany nataonao; Shield Ho avy tsy ho ela ao amin'ny drafitry ny Developer ny fiarovana ny endpoint.
FAQ
Inona no atao hoe fiarovana amin'ny rojo famatsiana AI?
Ny fiarovana ny rojo famatsiana AI dia miaro ny rojo famatsiana rindrambaiko amin'ny loza ateraky ny AI, toy ny fiankinan-doha amin'ny nofinofy, ny kaody novokarin'ny AI misy fahalemena, ary ny fifandraisana MCP manimba, sady mampiasa AI ihany koa hiarovana azy amin'ny alàlan'ny fitadiavana malware mifototra amin'ny fitondran-tena, ny fanomezana laharam-pahamehana ny fahafahana mampiasa azy, ary ny fanarenana mandeha ho azy.
Ahoana no ampiasana ny AI hiarovana ny rojo famatsiana rindrambaiko?
Ny AI dia ahafahana miaro tena izay tsy azon'ny fitaovana mifototra amin'ny sonia mifanandrify: manome isa ny fihetsiky ny fonosana vao navoaka amin'ny fotoana isehoany, mamaritra raha azo tratrarina tokoa ny lalan'ny kaody marefo, ary manamarika fa misy tsy fetezana. pipeline hetsika, ary mamorona fanamboarana manokana ho an'ny rafitra toy ny pull requests fa tsy tapakila mihantona.
Nahoana ireo scanner nentim-paharazana no tsy afaka misambotra ireo fanafihana amin'ny rojo famatsiana tarihin'ny AI?
Miantehitra amin'ny sonia fantatra sy CVE navoaka ireo fitaovana nentim-paharazana, ka tsy manome marika ny fonosana iray izy ireo raha tsy efa fantatra fa mampidi-doza. Ireo fampielezan-kevitra fonosana be dia be sy maharitra ela dia manangona fisintomana ao anatin'ny ora vitsy aorian'ny famoahana (ela be alohan'ny hisian'ny sonia), izany no antony ilàna ny famantarana mialoha ny sonia mifototra amin'ny fitondran-tena.
Inona no atao hoe AI-BOM ary nahoana no zava-dehibe izany?
Ny AI Bill of Materials (AI-BOM) dia lisitra ahitana ny modely AI rehetra, ny agent, ary ny fifandraisana MCP miasa mandritra ny tsingerin'ny fampivoarana rindrambaiko. Zava-dehibe izany satria tsy afaka miaro izay tsy notehirizinao ianao, ary ny ankamaroan'ny fikambanana dia tsy manana fahitana afovoany momba izay AI azo tratrarina avy amin'ny milina mpamorona rindrambaiko.
