TL; DR
AI-agenter kjører nå npm install uten et menneske i loopen. I femten år antok npm-pakkesikkerhet at en utvikler stoppet opp, leste pakkenavnet og bestemte seg. Agentic-kodingsassistenter slår dette sammen til et enkelt autonomt trinn, og fjerner det eneste kontrollpunktet de fleste sikkerhetsprogrammer var avhengige av.
Angrepsflaten beveget seg før forsvaret gjorde det. Forskning på tvers av seksten LLM-er fant at nesten én av fem anbefalte pakker ikke eksisterte – over 200 000 unike hallusinerte navn, mange gjentakende på tvers av gjentatte forespørsler og derfor farmbare. Samtidig tillot en kritisk MCP-bro-sårbarhet (over 437 000 nedlastinger) full RCE i det øyeblikket en agent koblet seg til en upålitelig server. Agenten bestemmer seg og utfører i samme trinn; det er ingen pause.
Deteksjon og håndheving må være automatisk, hver gang, uavhengig av hvem som initierte installasjonen. MEW overvåker registeret – skanner npm, PyPI og Maven kontinuerlig, og flagger skadelige pakker gjennom atferdsanalyse før en offentlig signatur finnes. Shield ser på installasjonen – avlytte pakkebehandlertrafikk på OS-nivå og håndheve organisasjonens policy før noe når disken, i løpet av ensifrede millisekunder, enten forespørselen kom fra en terminal eller en autonom agent.
npm-pakkesikkerhet er én del av et større skifte: De samme agentene som kjører installasjonen er AI-ressurser som de fleste organisasjoner ikke har registrert. Xygeni AI-sikkerhet lukker den sløyfen – oppdag, score, fiks. MEW er inkludert i det gratis utviklernivået.
I femten år antok npm-pakkesikkerhet én ting: et menneske satt mellom decision for å legge til en avhengighet og øyeblikket den landet på disken. Noen skrev inn pakkenavnet; noen trykket enter. Den antagelsen forsvinner stille og rolig, akkurat i det øyeblikket npm ble det mest målrettede pakkeøkosystemet i programvareforsyningskjeden: tre store hendelser i forsyningskjeden på åtte måneder, en selvforplantende orm som gjorde utviklere til leveringsmekanismen, og en pakke hentet 100 millioner ganger i uken kompromittert med nasjonalstatlig skadelig programvare.
npms målrike historie, før AI i det hele tatt kom inn i bildet
npm var allerede økosystemets angripere tiltrukket seg, og de siste tolv månedene viser hvorfor. September 2025, Shai-Hulud ble den første selvforplantende ormen som spredte seg gjennom npm, og gjorde utviklerne selv til leveringsmekanismen. I Mars 2026, axios, en pakke som ble hentet mer enn 100 millioner ganger i uken, ble kompromittert med nasjonalstatlig skadelig programvare gjemt inni den. En måned senere, en nesten identisk ormemønsteret traff npm-økosystemet igjen gjennom SAP-pakker, Den samme strategien, gjentatt i stor skala. Tre store hendelser på åtte måneder, alt i ett register. Det er grunnlinjen. AI-agenter endrer hva som skjer videre.
Det er også det vi skal snakke om på bakken kl. Tysk OWASP-dag 2026, 23.–24. september i Karlsruhe. Mer om det på slutten!
Hva endres når installasjonen ikke skrives inn av et menneske
Agentiske kodeassistenter foreslår ikke lenger bare kode. I økende grad bestemmer de at en avhengighet er nødvendig, velger en pakke og kjører installasjonen midt i oppgaven, uten at et menneske leser pakkenavnet først. To ting ved hvordan de gjør det, burde bekymre ethvert team som er avhengig av npm-pakkesikkerhetspraksiser bygget for en verden der mennesker følger med.
- Agenter hallusinerer pakkenavn, og angriperne vet det. Storstilt akademisk forskning genererte mer enn to millioner kodeeksempler på tvers av seksten LLM-er og fant at nesten én av fem anbefalte pakker ikke eksisterte i det hele tatt, over 200 000 unike hallusinerte navn. Enda verre, forskerne fant de samme hallusinerte navnene som dukket opp igjen på tvers av gjentatte ledetekster, noe som betyr at de er farmable: en angriper kan registrere navnet en AI-modell statistisk sett sannsynligvis vil foreslå før noen andre gjør det, og vente.
- Selve installasjonen har blitt en angrepsvektor. En kritisk sårbarhet i en mye brukt MCP-bro, nedlastet mer enn 437 000 ganger, tillot full ekstern kjøring av kode i det øyeblikket en klient koblet seg til en uklarert MCP-server, den typen tilkobling en autonom agent kan opprette på egenhånd. Det tradisjonelle sikkerhetssjekkpunktet for npm-pakker, en person som stopper opp for å se på hva de skal kjøre, finnes ikke i den arbeidsflyten. Agenten bestemmer seg og kjører i samme trinn.
To lag med npm-pakkesikkerhet som ikke er avhengig av at et menneske legger merke til det
Det er her npm-pakkesikkerhet må bevege seg fra «en utvikler leser nøye» til «plattformen bestemmer seg automatisk hver gang». Xygeni AI Security dekker dette med to distinkte lag.
- MEW (tidlig advarsel om skadelig programvare) ser på selve registeret. Den skanner kontinuerlig nylig publiserte pakker på tvers av npm, PyPI og Maven, og flagger skadelige pakker gjennom atferdsanalyse, ikke signaturmatching, noe som betyr at den fanger opp skadelig programvare før det i det hele tatt finnes en offentlig signatur for den. Flaggede pakker blir undersøkt, bekreftet og rapportert tilbake til det offentlige registeret for å bidra til å stoppe videre distribusjon. Dette gjelder både for en pakke en utvikler legger til manuelt og en en agent velger på egenhånd, siden MEW ikke bryr seg om hvem som startet installasjonen, den bryr seg om hva pakken gjør. Den er også en del av Xygenis gratis utviklernivå.
- Shield håndhever policyen i det øyeblikket installasjonen skjer. Den fanger opp npm-, PyPI- og Maven-trafikk på operativsystemnivå, transparent, uten at pakkebehandleren trenger å bli omkonfigurert. Hver installasjon kontrolleres mot organisasjonens policy før pakken når disken og før noe installasjonsskript kjøres. Og fordi Shield attributter hver decision til den nøyaktige prosessen, PID-en, den kjørbare filen og kommandolinjen som forespurte den, spiller det ingen rolle om forespørselen kom fra en utviklerterminal eller en agent som kjører autonomt i bakgrunnen, policyen gjelder på samme måte hver gang. Decisioner løses opp i løpet av ensifrede millisekunder fra hurtigbufferen, slik at det ikke bremser noen, verken mennesker eller agenter.
Sammen er det deteksjon på registernivå og håndheving under installasjon, som dekker de to øyeblikkene der npm-pakkerisiko faktisk materialiserer seg.
Dette er samtalen om AI-sikkerhet, ikke en sidebemerkning til den
npm-pakkesikkerhet er en synlig del av et større skifte: AI er nå en del av angrepsflaten, ikke bare et verktøy utviklere bruker. De samme modellene, agentene og MCP-serverne som bestemmer seg for å kjøre en npm-installasjon er AI-ressurser organisasjonen din kjører, og i de fleste tilfeller ikke lagerfører den fullstendig. Xygeni AI-sikkerhet oppdager disse aktivaene, vurderer risikoen deres mot OWASP Topp 10 for LLM-applikasjoner, og gjennom DevAI, fikser sårbar kode, AI-generert eller menneskeskrevet, inne i IDE-en før den sendes. Vi skrev mer om den oppdag-oppdag-fiks-rammen, og hvorfor oppdaging alene ikke er nok, i et tilhørende innlegg på AI-sikkerhetsholdningshåndtering.
Xygeni på den tyske OWASP-dagen 2026
Vi tar akkurat denne samtalen med til Karlsruhe. Xygeni er sponsor hos Tysk OWASP-dag 2026, løping September 23-24 på IHK Haus der Wirtschaft, sammen med omtrent 200 fagfolk innen applikasjonssikkerhet fra hele Tyskland og regionen.
Vi skal snakke om npm-pakkesikkerhet i en agentverden: hva MEW og Shield faktisk fanger, hva den nåværende MCP og slopsquatting-trusseldata ser ut som, og hvordan AI-generert code security passer inn i et program som allerede kjører SAST, SCA, og hemmeligheter skanner i stedet for å stå atskilt fra den.
Samme uke er vi også på OWASP AppSec Days Portugal 2026 i Porto, hvor vi er gullsponsor og snakker om AI Security Posture Management mer generelt. Uansett hvilket arrangement som passer inn i kalenderen din, tar vi gjerne kontakt!
MEW (Xygenis tidlige advarsel om skadelig programvare) er tilgjengelig i gratisutviklernivået, uten behov for kredittkort. Den dekker npm, PyPI og Maven, flagger skadelige pakker gjennom atferdsanalyse før en offentlig signatur finnes, og gjelder for alle installasjoner uavhengig av om en utvikler eller en agent initierte den.
FAQ
- Hvorfor må npm-pakkesikkerheten endres på grunn av AI-agenter?
De fleste sikkerhetspraksiser for npm-pakker forutsetter at et menneske gjennomgår et pakkenavn før det installeres. Agentiske kodeassistenter kan velge og installere en avhengighet i samme trinn, uten menneskelig gjennomgang i mellom, noe som fjerner kontrollpunktet som praksisen var avhengig av. Deteksjon og håndheving må skje automatisk, i registeret og ved installasjonstidspunktet, uavhengig av hvem eller hva som startet installasjonen.
- Hva er forskjellen mellom MEW og Shield?
MEW overvåker registeret: det skanner nylig publiserte npm-, PyPI- og Maven-pakker og flagger ondsinnet oppførsel før en offentlig signatur finnes. Shield overvåker installasjonen: den håndhever organisasjonens policy på operativsystemnivå i det øyeblikket en pakkeinstallasjon forespørres, og blokkerer den før den når disken hvis den bryter med policyen. Den ene er deteksjon ved publiseringstidspunktet; den andre er håndheving ved installasjonstidspunktet.
- Erstatter dette SCA skanning?
Nei. Xygenis AI-sortering, forklaring og utbedring gjelder for funn fra Xygenis egne skannere og for funn innhentet fra tredjeparter. SCA og AppSec-verktøy er allerede på plass, slik at npm-pakkerisikoen dekkes uten å rive ut eksisterende verktøy.
- Hvor kan jeg snakke med Xygeni om dette?
Xygeni er på den tyske OWASP-dagen 2026, 23.–24. september i Karlsruhe, og snakker om npm-pakkesikkerhet og AI-sikkerhet. Vi er også gullsponsor på OWASP AppSec Days Portugal 2026, samme uke, i Porto.
