TL; ਡਾ
ਲਗਭਗ ਹਰ ਇੰਜੀਨੀਅਰਿੰਗ ਟੀਮ AI ਕੋਡਿੰਗ ਸਹਾਇਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। ਲਗਭਗ ਕੋਈ ਵੀ ਇਹ ਨਹੀਂ ਦੱਸ ਸਕਦਾ ਕਿ ਉਹ ਅਸਲ ਵਿੱਚ ਕੀ AI ਚਲਾਉਂਦੇ ਹਨ। ਗਾਰਟਨਰ ਨੇ ਆਪਣੇ 2025 ਹਾਈਪ ਸਾਈਕਲ ਫਾਰ ਡਾਟਾ ਸੁਰੱਖਿਆ ਵਿੱਚ AI ਸੁਰੱਖਿਆ ਪੋਸਚਰ ਮੈਨੇਜਮੈਂਟ ਨੂੰ ਇੱਕ ਸ਼੍ਰੇਣੀ ਵਜੋਂ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ ਕਿਉਂਕਿ ਇਹ ਪਾੜਾ ਅਸਲ ਹੈ: ਮਾਡਲ, ਏਜੰਟ, MCP ਸਰਵਰ, ਅਤੇ ਡੇਟਾਸੈੱਟ ਹਮਲੇ ਦੀ ਸਤ੍ਹਾ ਵਿੱਚ AI ਸੰਪਤੀਆਂ ਹਨ, ਅਤੇ ਜ਼ਿਆਦਾਤਰ ਸੰਗਠਨਾਂ ਕੋਲ ਉਹਨਾਂ ਨੂੰ ਦੇਖਣ ਦਾ ਕੋਈ ਢਾਂਚਾਗਤ ਤਰੀਕਾ ਨਹੀਂ ਹੈ।
ਉਪਚਾਰ ਤੋਂ ਬਿਨਾਂ ਖੋਜ ਸਿਰਫ਼ ਇੱਕ ਹੈ dashboard. ਲਗਭਗ 40% AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਵਿੱਚ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਹੁੰਦੀਆਂ ਹਨ। AI ਸਹਾਇਕ ਅਸੁਰੱਖਿਅਤ ਪੈਟਰਨਾਂ ਨੂੰ ਇੱਕ ਅਜਿਹੇ ਵਾਲੀਅਮ 'ਤੇ ਦੁਬਾਰਾ ਪੈਦਾ ਕਰਦੇ ਹਨ ਜਿਸਨੂੰ ਸੰਭਾਲਣ ਲਈ ਕੋਈ ਦਸਤੀ ਸਮੀਖਿਆ ਨਹੀਂ ਬਣਾਈ ਗਈ ਸੀ। ਇਹ ਜਾਣਨਾ ਕਿ ਕਿਹੜੀਆਂ AI ਸੰਪਤੀਆਂ ਮੌਜੂਦ ਹਨ, ਸਿਰਫ ਅੱਧੀ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਹੈ - ਦੂਜਾ ਅੱਧਾ ਆਪਣੇ ਜੋਖਮ ਨੂੰ ਸਕੋਰ ਕਰ ਰਿਹਾ ਹੈ ਅਤੇ ਕੋਡ ਨੂੰ ਭੇਜਣ ਤੋਂ ਪਹਿਲਾਂ ਠੀਕ ਕਰ ਰਿਹਾ ਹੈ, ਉਸੇ ਵਰਕਫਲੋ ਵਿੱਚ ਜਿੱਥੇ ਇਸਨੂੰ ਲਿਖਿਆ ਗਿਆ ਸੀ।
ਹਮਲੇ ਦੀ ਸਤ੍ਹਾ ਕੋਡ ਨਾਲੋਂ ਚੌੜੀ ਹੈ। ਦਸਤਾਵੇਜ਼ੀ ਹਮਲੇ ਪਹਿਲਾਂ ਹੀ ਕੋਡ ਦੇ ਆਲੇ ਦੁਆਲੇ ਦੀਆਂ ਸੰਪਤੀਆਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦੇ ਹਨ: ਨਿਯਮਾਂ ਦੀਆਂ ਫਾਈਲਾਂ ਵਿੱਚ ਲੁਕਿਆ ਹੋਇਆ ਯੂਨੀਕੋਡ ਜੋ ਸਹਾਇਕਾਂ ਨੂੰ ਬੈਕਡੋਰਡ ਆਉਟਪੁੱਟ ਛੱਡਣ ਦਾ ਕਾਰਨ ਬਣਦਾ ਹੈ, MCP ਟੂਲ ਜ਼ਹਿਰ ਅਤੇ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਵਰਤੇ ਜਾਂਦੇ MCP ਬ੍ਰਿਜ (437,000+ ਡਾਊਨਲੋਡ) ਰਾਹੀਂ ਪੂਰਾ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ, ਅਤੇ ਸਲੋਪਸਕਵਾਟਿੰਗ - ਪੈਕੇਜ ਨਾਮਾਂ ਨੂੰ ਰਜਿਸਟਰ ਕਰਨਾ AI ਮਾਡਲਾਂ ਦੇ ਅੰਕੜਿਆਂ ਅਨੁਸਾਰ ਭਰਮ ਪੈਦਾ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਹੈ। ਰਵਾਇਤੀ SAST ਅਤੇ SCA ਇਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਨਹੀਂ ਦਿਖਦਾ।
ਹੱਲ ਇੱਕ ਲੂਪ ਹੈ, ਤਿੰਨ-ਪੁਆਇੰਟ ਟੂਲ ਨਹੀਂ: ਏਆਈ-ਐਸਪੀਐਮ ਵਸਤੂ ਸੂਚੀ ਅਤੇ AI-BOM ਬਣਾਉਂਦਾ ਹੈ; AI ਸੁਰੱਖਿਆ LLM ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ OWASP ਟੌਪ 10 ਦੇ ਵਿਰੁੱਧ ਜੋਖਮ ਸਕੋਰ; ਦੇਵਏਆਈ IDE ਦੇ ਅੰਦਰ ਕਮਜ਼ੋਰ ਕੋਡ ਨੂੰ ਠੀਕ ਕਰਦਾ ਹੈ ਜਿਵੇਂ ਕਿ ਇਹ ਲਿਖਿਆ ਗਿਆ ਹੈ, AI-ਤਿਆਰ ਕੀਤੇ ਅਤੇ ਮਨੁੱਖੀ-ਲਿਖੇ ਕੋਡ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੂਜੇ ਏਜੰਟ ਜੋ ਕਰਨ ਵਾਲੇ ਹਨ, ਉਹਨਾਂ ਦੇ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਉਹਨਾਂ ਨੂੰ ਰੋਕਦਾ ਹੈ। ਇਹ Xygeni ਦੇ ਆਪਣੇ ਸਕੈਨਰਾਂ ਤੋਂ ਪ੍ਰਾਪਤ ਖੋਜਾਂ ਅਤੇ ਪਹਿਲਾਂ ਤੋਂ ਹੀ ਮੌਜੂਦ ਔਜ਼ਾਰਾਂ ਤੋਂ ਗ੍ਰਹਿਣ ਕੀਤੀ ਗਈ ਹਰ ਚੀਜ਼ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ। — ਰਿਪ-ਐਂਡ-ਰਿਪਲੇਸ ਦੀ ਕੋਈ ਲੋੜ ਨਹੀਂ।
ਲਗਭਗ ਹਰ ਇੰਜੀਨੀਅਰਿੰਗ ਟੀਮ ਨੇ AI ਕੋਡਿੰਗ ਸਹਾਇਕਾਂ ਨੂੰ ਅਪਣਾਇਆ ਹੈ। ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਲਗਭਗ ਕੋਈ ਵੀ ਇੱਕ ਸਧਾਰਨ ਸਵਾਲ ਦਾ ਜਵਾਬ ਨਹੀਂ ਦੇ ਸਕਦਾ: ਅਸੀਂ ਅਸਲ ਵਿੱਚ ਕਿਹੜੇ AI ਮਾਡਲ, ਏਜੰਟ, ਅਤੇ MCP ਸਰਵਰ ਚਲਾਉਂਦੇ ਹਾਂ, ਅਤੇ ਹਰ ਇੱਕ ਕਿਹੜਾ ਜੋਖਮ ਲੈ ਰਿਹਾ ਹੈ? ਉਸ ਪਾੜੇ ਦਾ ਹੁਣ ਇੱਕ ਨਾਮ ਹੈ। ਗਾਰਟਨਰ ਨੇ ਰਸਮੀ ਤੌਰ 'ਤੇ AI ਸੁਰੱਖਿਆ ਮੁਦਰਾ ਪ੍ਰਬੰਧਨ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ। (ਏਆਈ-ਐਸਪੀਐਮ) ਇਸ ਵਿੱਚ ਇੱਕ ਸ਼੍ਰੇਣੀ ਦੇ ਰੂਪ ਵਿੱਚ ਡਾਟਾ ਸੁਰੱਖਿਆ ਲਈ 2025 ਹਾਈਪ ਸਾਈਕਲ — ਉਹੀ ਵੰਸ਼ ਜਿਸਨੇ CSPM ਅਤੇ DSPM ਪੈਦਾ ਕੀਤੇ। ਇਹ ਸ਼੍ਰੇਣੀ ਮੌਜੂਦ ਹੈ ਕਿਉਂਕਿ ਸੰਖਿਆਵਾਂ ਠੋਸ ਹਨ: ਲਗਭਗ 40% AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਵਿੱਚ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਹਨ, AI ਹੁਣ ਸਿਰਫ਼ ਇੱਕ ਟੂਲ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਵਰਤੇ ਜਾਣ ਦੀ ਬਜਾਏ ਹਮਲੇ ਦੀ ਸਤ੍ਹਾ ਦਾ ਹਿੱਸਾ ਹੈ, ਅਤੇ ਜ਼ਿਆਦਾਤਰ ਸੰਗਠਨਾਂ ਕੋਲ ਉਹਨਾਂ ਦੁਆਰਾ ਚਲਾਏ ਜਾਣ ਵਾਲੇ AI ਸੰਪਤੀਆਂ ਦੀ ਕੋਈ ਢਾਂਚਾਗਤ ਵਸਤੂ ਸੂਚੀ ਨਹੀਂ ਹੈ।
ਇਹ ਉਹ ਵਿਸ਼ਾ ਵੀ ਹੈ ਜਿਸ ਬਾਰੇ ਅਸੀਂ ਜ਼ਮੀਨੀ ਪੱਧਰ 'ਤੇ ਚਰਚਾ ਕਰਾਂਗੇ OWASP ਐਪਸੇਕ ਡੇਜ਼ ਪੁਰਤਗਾਲ 2026, 23-24 ਸਤੰਬਰ ਪੋਰਟੋ ਵਿੱਚ, ਜਿੱਥੇ ਜ਼ਾਇਗੇਨੀ ਇੱਕ ਗੋਲਡ ਸਪਾਂਸਰ ਹੈ।. ਇਸ ਬਾਰੇ ਹੋਰ ਅੰਤ ਵਿੱਚ, ਪਰ ਜੇ ਤੁਸੀਂ ਅੱਗੇ ਜਾਣਾ ਚਾਹੁੰਦੇ ਹੋ, ਆਪਣੀ ਟਿਕਟ ਇੱਥੋਂ ਪ੍ਰਾਪਤ ਕਰੋ।.
ਸਮੱਸਿਆ: ਏਆਈ-ਤਿਆਰ ਕੀਤਾ ਕੋਡ ਆਪਣਾ ਜੋਖਮ ਪ੍ਰੋਫਾਈਲ ਰੱਖਦਾ ਹੈ
ਲਗਭਗ 40% AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਵਿੱਚ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਹਨ। AI ਕੋਡਿੰਗ ਸਹਾਇਕਾਂ 'ਤੇ ਸੁਤੰਤਰ ਖੋਜ ਨੇ ਲਗਾਤਾਰ ਉੱਚ ਅਸਫਲਤਾ ਦਰਾਂ ਪਾਈਆਂ ਹਨ OWASP ਚੋਟੀ ਦੇ 10, ਕੁਝ ਖਾਸ ਖਾਮੀਆਂ ਸ਼੍ਰੇਣੀਆਂ ਜਿਵੇਂ ਕਿ ਕਰਾਸ-ਸਾਈਟ ਸਕ੍ਰਿਪਟਿੰਗ ਤਿਆਰ ਕੀਤੇ ਗਏ ਜ਼ਿਆਦਾਤਰ ਨਮੂਨਿਆਂ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ। AI ਸਹਾਇਕ ਸਿਰਫ਼ ਕੋਡ ਨੂੰ ਤੇਜ਼ੀ ਨਾਲ ਨਹੀਂ ਲਿਖਦੇ। ਉਹ ਅਸੁਰੱਖਿਅਤ ਪੈਟਰਨਾਂ, ਅਸੁਰੱਖਿਅਤ ਨਿਰਭਰਤਾਵਾਂ, ਅਤੇ ਅਸੁਰੱਖਿਅਤ ਸੰਰਚਨਾਵਾਂ ਨੂੰ ਵੀ ਤੇਜ਼ੀ ਨਾਲ ਦੁਬਾਰਾ ਤਿਆਰ ਕਰਦੇ ਹਨ, ਅਤੇ ਉਹ ਇਸਨੂੰ ਇੱਕ ਅਜਿਹੇ ਵਾਲੀਅਮ 'ਤੇ ਕਰਦੇ ਹਨ ਜਿਸਨੂੰ ਸੰਭਾਲਣ ਲਈ ਕੋਈ ਦਸਤੀ ਸਮੀਖਿਆ ਪ੍ਰਕਿਰਿਆ ਨਹੀਂ ਬਣਾਈ ਗਈ ਸੀ।
ਹਮਲੇ ਦੀ ਸਤ੍ਹਾ ਉਸ ਕੋਡ 'ਤੇ ਨਹੀਂ ਰੁਕਦੀ ਜੋ ਇੱਕ ਸਹਾਇਕ ਲਿਖਦਾ ਹੈ। ਇਹ ਤੁਹਾਡੀਆਂ ਟੀਮਾਂ ਦੁਆਰਾ ਪਹਿਲਾਂ ਤੋਂ ਚਲਾਏ ਜਾ ਰਹੇ AI ਸੰਪਤੀਆਂ ਅਤੇ ਬਹੁਤ ਘੱਟ ਵਸਤੂ ਸੂਚੀ ਤੱਕ ਫੈਲਦਾ ਹੈ: ਮਾਡਲ, ਡੇਟਾਸੈੱਟ, ਏਜੰਟ, ਅਤੇ MCP ਸਰਵਰ। ਹਰੇਕ ਨੇ ਪਹਿਲਾਂ ਹੀ ਅਸਲ, ਦਸਤਾਵੇਜ਼ੀ ਹਮਲੇ ਪੈਦਾ ਕੀਤੇ ਹਨ:
- ਨਿਯਮ ਫਾਈਲ ਬੈਕਡੋਰ: ਹਮਲਾਵਰ GitHub Copilot ਅਤੇ Cursor ਵਰਗੇ ਟੂਲਸ ਦੁਆਰਾ ਪੜ੍ਹੇ ਗਏ ਨਿਯਮਾਂ ਅਤੇ ਸੰਰਚਨਾ ਫਾਈਲਾਂ ਦੇ ਅੰਦਰ ਅਦਿੱਖ ਯੂਨੀਕੋਡ ਅੱਖਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਨਿਰਦੇਸ਼ਾਂ ਨੂੰ ਲੁਕਾਉਂਦੇ ਹਨ, ਜਿਸ ਕਾਰਨ ਸਹਾਇਕ ਬਿਨਾਂ ਜ਼ਿਕਰ ਕੀਤੇ ਬੈਕਡੋਰਡ ਕੋਡ ਨੂੰ ਛੱਡ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਦੇ ਰੂਪ ਵਿੱਚ ਸੂਚੀਬੱਧ ਮਾਈਟਰ ਐਟਲਸ ਕੇਸ ਸਟੱਡੀ।
- ਐਮਸੀਪੀ ਟੂਲ ਜ਼ਹਿਰ ਅਤੇ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ: ਇੱਕ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਵਰਤੇ ਜਾਣ ਵਾਲੇ MCP ਬ੍ਰਿਜ ਵਿੱਚ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਕਮਜ਼ੋਰੀ, ਜਿਸਨੂੰ 437,000 ਤੋਂ ਵੱਧ ਵਾਰ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਹੈ, ਨੇ ਇੱਕ ਅਵਿਸ਼ਵਾਸਯੋਗ MCP ਸਰਵਰ ਨਾਲ ਇੱਕ ਕਲਾਇੰਟ ਦੇ ਜੁੜਨ ਦੇ ਸਮੇਂ ਪੂਰੀ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੀ ਆਗਿਆ ਦਿੱਤੀ।
- ਝੁਕ ਕੇ ਬੈਠਣਾ: ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਹੋਈ ਅਕਾਦਮਿਕ ਖੋਜ ਨੇ ਸੋਲਾਂ LLMs ਵਿੱਚ 20 ਲੱਖ ਤੋਂ ਵੱਧ ਕੋਡ ਨਮੂਨੇ ਤਿਆਰ ਕੀਤੇ ਅਤੇ ਪਾਇਆ ਕਿ ਪੰਜ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੇ ਪੈਕੇਜਾਂ ਵਿੱਚੋਂ ਲਗਭਗ ਇੱਕ ਮੌਜੂਦ ਹੀ ਨਹੀਂ ਸੀ, ਹਮਲਾਵਰ ਸਮੇਂ ਤੋਂ ਪਹਿਲਾਂ ਨਾਮ ਰਜਿਸਟਰ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਹਥਿਆਰ ਬਣਾ ਸਕਦੇ ਹਨ।
ਇਸ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਰਵਾਇਤੀ ਵਿੱਚ ਦਿਖਾਈ ਨਹੀਂ ਦਿੰਦਾ SAST or SCA ਸਕੈਨ। ਉਹ ਟੂਲ ਕੋਡ ਨੂੰ ਸਮਝਦੇ ਹਨ। ਉਹ ਇਹ ਨਹੀਂ ਸਮਝਦੇ ਕਿ ਇੱਕ ਮਾਡਲ ਕੀ ਹੈ, ਇੱਕ MCP ਸਰਵਰ ਕੀ ਕਰ ਰਿਹਾ ਹੈ, ਜਾਂ ਕੀ ਇੱਕ ਏਜੰਟ ਦੀ ਸੰਰਚਨਾ ਫਾਈਲ ਨਾਲ ਛੇੜਛਾੜ ਕੀਤੀ ਗਈ ਹੈ।
ਜ਼ਿਆਦਾਤਰ ਟੀਮਾਂ ਅੱਧੀ ਸਮੱਸਿਆ ਹੱਲ ਕਰ ਰਹੀਆਂ ਹਨ।
ਸਹਿਜ ਪ੍ਰਤੀਕਿਰਿਆ ਪੁਆਇੰਟ ਟੂਲਸ 'ਤੇ ਬੋਲਟ ਕਰਨਾ ਹੈ: ਇੱਕ ਮਾਡਲ ਸਕੈਨਿੰਗ ਲਈ, ਦੂਜਾ ਰਨਟਾਈਮ ਪ੍ਰੋਂਪਟ ਫਾਇਰਵਾਲਾਂ ਲਈ, ਤੀਜਾ ਲਈ IDE ਸਹਾਇਕ. ਇਹ ਉਹੀ ਗਲਤੀ ਹੈ ਜੋ AppSec ਨੇ ਕੀਤੀ ਸੀ। SAST, SCA, ਅਤੇ ਪੰਦਰਾਂ ਸਾਲ ਪਹਿਲਾਂ ਭੇਦ ਸਕੈਨ ਕੀਤੇ ਗਏ ਸਨ, ਅਤੇ ਇਹ ਉਹੀ ਨਤੀਜਾ ਪੈਦਾ ਕਰਦਾ ਹੈ: ਖੰਡਿਤ ਦ੍ਰਿਸ਼ਟੀ, ਸੁਚੇਤ ਸ਼ੋਰ, ਅਤੇ "ਅਸੀਂ ਅਸਲ ਵਿੱਚ ਕੀ AI ਚਲਾਉਂਦੇ ਹਾਂ, ਅਤੇ ਕੀ ਇਹ ਸੁਰੱਖਿਅਤ ਹੈ" ਦਾ ਜਵਾਬ ਦੇਣ ਲਈ ਕੋਈ ਇੱਕ ਵੀ ਜਗ੍ਹਾ ਨਹੀਂ ਹੈ।
ਰਿਮੇਡੀਏਸ਼ਨ ਤੋਂ ਬਿਨਾਂ ਖੋਜ ਤੁਹਾਨੂੰ ਦੱਸਦੀ ਹੈ ਕਿ ਅੱਗ ਕਿੱਥੇ ਹੈ। ਡਿਸਕਵਰੀ ਤੋਂ ਬਿਨਾਂ ਸੁਧਾਰ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਤੁਸੀਂ ਕੋਡ ਨੂੰ ਠੀਕ ਕਰ ਰਹੇ ਹੋ ਜਦੋਂ ਕਿ ਸ਼ੈਡੋ ਐਮਸੀਪੀ ਸਰਵਰ ਅਤੇ ਗੈਰ-ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਏਜੰਟ ਇਸਦੇ ਅੱਗੇ ਬਿਨਾਂ ਨਿਗਰਾਨੀ ਦੇ ਚੱਲਦੇ ਹਨ। ਏਆਈ ਸੁਰੱਖਿਆ ਨੂੰ ਦੋਵਾਂ ਨੂੰ ਇੱਕੋ ਪਲੇਟਫਾਰਮ 'ਤੇ ਕਵਰ ਕਰਨਾ ਪੈਂਦਾ ਹੈ, ਨਹੀਂ ਤਾਂ ਇਹ ਮੁਦਰਾ ਪ੍ਰਬੰਧਨ ਨਹੀਂ ਹੈ। ਇਹ ਇੱਕ dashboard.
ਬਿਹਤਰ ਤਰੀਕਾ: ਏਆਈ ਸੁਰੱਖਿਆ ਆਸਣ ਪ੍ਰਬੰਧਨ ਜੋ ਖੋਜਦਾ ਹੈ, ਖੋਜਦਾ ਹੈ ਅਤੇ ਠੀਕ ਕਰਦਾ ਹੈ
ਜ਼ਾਇਗੇਨੀ AI ਸੁਰੱਖਿਆ ਪੂਰੇ AI-ਯੁੱਗ ਵਿੱਚ ਇਸ ਲੂਪ ਨੂੰ ਬੰਦ ਕਰਦਾ ਹੈ SDLC, ਮਾਡਲ ਅਤੇ MCP ਸਰਵਰ ਤੋਂ ਡਿਵੈਲਪਰ ਦੇ ਅੰਤਮ ਬਿੰਦੂ ਤੱਕ।
- ਖੋਜ. AI-SPM ਸੰਗਠਨ ਵਿੱਚ ਹਰੇਕ AI ਸੰਪਤੀ ਦੀ ਇੱਕ ਲਾਈਵ ਵਸਤੂ ਸੂਚੀ ਬਣਾਉਂਦਾ ਹੈ: ਮਾਡਲ, ਡੇਟਾਸੈੱਟ, ਏਜੰਟ, MCP ਸਰਵਰ। ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਇੱਕ ਨਾਲ ਵਸਤੂ ਸੂਚੀ ਏਆਈ-ਬੌਮ, ਸਬੂਤ ਅਧਾਰ ਆਡੀਟਰ ਅਤੇ ਰੈਗੂਲੇਟਰ ਵੱਧ ਤੋਂ ਵੱਧ ਮੰਗ ਕਰ ਰਹੇ ਹਨ, ਭਾਵੇਂ ਇਹ EU AI ਐਕਟ ਦੇ ਤਹਿਤ ਉੱਚ-ਜੋਖਮ ਪ੍ਰਣਾਲੀਆਂ ਲਈ ਤਕਨੀਕੀ ਦਸਤਾਵੇਜ਼ ਹੋਣ ਜਾਂ ਸਪੇਨ ਦੇ ENS ਵਰਗੇ ਫਰੇਮਵਰਕ ਦੁਆਰਾ ਲੋੜੀਂਦੇ ਸੰਪਤੀ ਵਸਤੂਆਂ।
- ਪਤਾ ਲਗਾਓ। ਏਆਈ ਸੁਰੱਖਿਆ ਹਰੇਕ ਸੰਪਤੀ ਨੂੰ ਅਸਲ ਜੋਖਮ ਦੇ ਵਿਰੁੱਧ ਸਕੋਰ ਕਰਦੀ ਹੈ: ਪ੍ਰੋਂਪਟ ਇੰਜੈਕਸ਼ਨ, ਅਸੁਰੱਖਿਅਤ ਐਮਸੀਪੀ ਕੌਂਫਿਗਰੇਸ਼ਨ, ਡੇਟਾ ਐਕਸਪੋਜ਼ਰ, ਨਾਲ ਇਕਸਾਰ LLM ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ OWASP ਸਿਖਰਲੇ 10. ਨਤੀਜਿਆਂ ਨੂੰ ਦਰਜਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਕਤਾਰ ਵਿੱਚ ਨਹੀਂ ਸੁੱਟਿਆ ਜਾਂਦਾ।
- ਠੀਕ ਕਰੋ, ਪੁਆਇੰਟ ਕੋਡ ਲਿਖਿਆ ਹੋਇਆ ਹੈ। ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ AI-ਉਤਪੰਨ code security ਅਸਲ ਵਿੱਚ ਹੱਲ ਹੋ ਜਾਂਦਾ ਹੈ। ਜ਼ਾਇਗੇਨੀ ਦੇਵਏਆਈ IDE ਦੇ ਅੰਦਰ ਇੱਕ ਨਿਰੰਤਰ ਪਰਤ ਦੇ ਰੂਪ ਵਿੱਚ ਚੱਲਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ ਡਿਵੈਲਪਰ ਮਨੁੱਖੀ-ਲਿਖੇ ਅਤੇ AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਨਾਲ ਕੰਮ ਕਰਦੇ ਹਨ, ਸਕੈਨਿੰਗ ਵਧਦੀ ਜਾਂਦੀ ਹੈ। ਇਹ ਏਜੰਟਿਕ AI ਕਮਜ਼ੋਰੀ ਖੋਜ, ਨਕਸ਼ੇ ਕਰਦਾ ਹੈ ਏਆਈ-ਸੰਚਾਲਿਤ ਹਮਲੇ ਦੇ ਰਸਤੇ ਇਹ ਦਰਸਾਉਣ ਲਈ ਕਿ ਇੱਕ ਖਾਮੀ ਦਾ ਅਸਲ ਵਿੱਚ ਕਿਵੇਂ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਅਤੇ AI-ਤਿਆਰ ਕੀਤੇ ਸੁਰੱਖਿਅਤ ਫਿਕਸ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜੋ ਕਿਸੇ ਡਿਵੈਲਪਰ ਦੁਆਰਾ ਲਾਗੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਸ਼ੋਸ਼ਣਯੋਗਤਾ ਅਤੇ ਬ੍ਰੇਕਿੰਗ-ਚੇਂਜ ਜੋਖਮ ਲਈ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦੇ ਹਨ। Guardrails ਸੁਰੱਖਿਆ ਅਤੇ ਪਾਲਣਾ ਨੀਤੀ ਦੇ ਵਿਰੁੱਧ ਤਬਦੀਲੀਆਂ ਨੂੰ CI ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਮਾਣਿਤ ਕਰੋ, ਅਤੇ ਇੱਕ ਸਮਰਪਿਤ DevAI ਏਜੰਟ ਦੂਜੇ ਏਜੰਟਾਂ ਦੁਆਰਾ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਕੰਮਾਂ ਨੂੰ ਰੋਕਦਾ ਹੈ: ਹੁਨਰ ਅਤੇ ਨਿਯਮਾਂ ਦੀਆਂ ਫਾਈਲਾਂ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨਾ, ਮਾਲਵੇਅਰ ਅਤੇ ਸਲੋਪਸਕਵੇਟਿੰਗ ਪੈਟਰਨਾਂ ਦੇ ਵਿਰੁੱਧ ਏਜੰਟ ਦੁਆਰਾ ਸਥਾਪਤ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਹਰੇਕ ਪੈਕੇਜ ਦੀ ਜਾਂਚ ਕਰਨਾ, ਅਤੇ ਜ਼ਹਿਰ ਲਈ MCP ਟੂਲ ਵਿਵਹਾਰ ਨੂੰ ਦੇਖਣਾ, ਇਹ ਸਭ ਕੁਝ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਤੋਂ ਪਹਿਲਾਂ।
- ਲਾਗੂ ਕਰੋ। Shield ਇਹੀ ਨੀਤੀ ਡਿਵੈਲਪਰ ਦੇ ਅੰਤਮ ਬਿੰਦੂ ਤੱਕ ਫੈਲਾਉਂਦੀ ਹੈ, ਅਸੁਰੱਖਿਅਤ AI ਗਤੀਵਿਧੀ ਨੂੰ ਚੱਲਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਰੋਕ ਦਿੰਦੀ ਹੈ।
ਅਤੇ ਕਿਉਂਕਿ ਏਆਈ ਟ੍ਰਾਈਜ, ਵਿਆਖਿਆ, ਅਤੇ ਉਪਚਾਰ ਸਿਰਫ਼ ਜ਼ਾਇਗੇਨੀ ਦੀਆਂ ਆਪਣੀਆਂ ਖੋਜਾਂ 'ਤੇ ਹੀ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦੇ, ਸਗੋਂ ਪਹਿਲਾਂ ਤੋਂ ਮੌਜੂਦ ਔਜ਼ਾਰਾਂ ਤੋਂ ਗ੍ਰਹਿਣ ਕੀਤੀ ਗਈ ਹਰ ਚੀਜ਼ 'ਤੇ ਵੀ ਲਾਗੂ ਹੁੰਦੇ ਹਨ, ਟੀਮਾਂ ਇਸਨੂੰ ਉਹਨਾਂ ਚੀਜ਼ਾਂ ਨੂੰ ਬਾਹਰ ਕੱਢੇ ਬਿਨਾਂ ਪ੍ਰਾਪਤ ਕਰਦੀਆਂ ਹਨ ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਉਹਨਾਂ ਨੇ ਪਹਿਲਾਂ ਹੀ ਨਿਵੇਸ਼ ਕੀਤਾ ਹੈ।
OWASP AppSec Days Portugal 2026 'ਤੇ Xygeni ਨੂੰ ਮਿਲੋ
ਅਸੀਂ ਇਹ ਗੱਲਬਾਤ ਪੋਰਟੋ ਲੈ ਕੇ ਆ ਰਹੇ ਹਾਂ। ਜ਼ਾਇਗੇਨੀ ਵਿਖੇ ਗੋਲਡ ਸਪਾਂਸਰ ਹੈ OWASP ਐਪਸੇਕ ਡੇਜ਼ ਪੁਰਤਗਾਲ 2026, ਚੱਲ ਰਿਹਾ ਹੈ ਸਤੰਬਰ 23-24 Fundação António Cupertino de Miranda ਵਿਖੇ।
ਅਸੀਂ ਇਸ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ AI ਸੁਰੱਖਿਆ ਆਸਣ ਪ੍ਰਬੰਧਨ ਬਾਰੇ ਗੱਲ ਕਰਾਂਗੇ: ਕਿਵੇਂ ਟੀਮਾਂ AI ਸੰਪਤੀਆਂ ਦੀ ਖੋਜ ਕਰ ਰਹੀਆਂ ਹਨ ਜਿਨ੍ਹਾਂ ਬਾਰੇ ਉਹਨਾਂ ਨੂੰ ਪਤਾ ਨਹੀਂ ਸੀ ਕਿ ਉਹਨਾਂ ਕੋਲ ਹੈ, AI- ਦੁਆਰਾ ਕਿਵੇਂ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ code security ਇੱਕ ਮੌਜੂਦਾ ਐਪਸੇਕ ਪ੍ਰੋਗਰਾਮ ਦੇ ਨਾਲ ਬੈਠਣ ਦੀ ਬਜਾਏ ਇਸ ਵਿੱਚ ਫਿੱਟ ਬੈਠਦਾ ਹੈ, ਅਤੇ MCP ਅਤੇ ਏਜੰਟਿਕ ਖਤਰਿਆਂ ਦੀ ਮੌਜੂਦਾ ਲਹਿਰ ਅਸਲ ਵਿੱਚ ਜੰਗਲ ਵਿੱਚ ਕਿਹੋ ਜਿਹੀ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ।
ਜੇਕਰ ਤੁਸੀਂ ਹਾਜ਼ਰ ਹੋ ਰਹੇ ਹੋ, ਬੂਥ 12 'ਤੇ ਜ਼ਾਇਗੇਨੀ ਟੀਮ ਨੂੰ ਲੱਭਣ ਲਈ ਆਓ। ਜੇਕਰ ਤੁਹਾਡੇ ਰੋਡਮੈਪ 'ਤੇ AI ਸੁਰੱਖਿਆ ਸਥਿਤੀ ਹੈ ਅਤੇ ਤੁਸੀਂ ਪੋਰਟੋ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦੇ, ਤਾਂ ਅਸੀਂ ਸਿੱਧੇ ਇਸ ਵਿੱਚੋਂ ਲੰਘ ਕੇ ਖੁਸ਼ ਹਾਂ। ਉਸੇ ਤਾਰੀਖ਼ਾਂ 'ਤੇ, ਅਸੀਂ ਵੀ ਕਾਰਲਸਰੂਹੇ ਵਿੱਚ ਜਰਮਨ OWASP ਦਿਵਸ 2026, ਏਆਈ ਸੁਰੱਖਿਆ ਰਾਹੀਂ ਗੱਲ ਕਰਨਾ ਅਤੇ Shieldਦੀ ਲਾਗੂ ਕਰਨ ਵਾਲੀ ਪਰਤ ਖਾਸ ਤੌਰ 'ਤੇ।
ਸਾਡੇ ਨਾਲ ਇੱਕ ਮੀਟਿੰਗ ਬੁੱਕ ਕਰੋ!
ਸਵਾਲ
- ਏਆਈ ਸੁਰੱਖਿਆ ਆਸਣ ਪ੍ਰਬੰਧਨ (ਏਆਈ-ਐਸਪੀਐਮ) ਕੀ ਹੈ?
AI-SPM ਇੱਕ ਸੰਗਠਨ ਦੁਆਰਾ ਚਲਾਈ ਜਾਣ ਵਾਲੀ ਹਰੇਕ AI ਸੰਪਤੀ - ਮਾਡਲ, ਡੇਟਾਸੈੱਟ, ਏਜੰਟ, ਅਤੇ MCP ਸਰਵਰ - ਦੀ ਖੋਜ, ਵਸਤੂ ਸੂਚੀ ਅਤੇ ਨਿਰੰਤਰ ਮੁਲਾਂਕਣ ਕਰਨ ਦਾ ਅਨੁਸ਼ਾਸਨ ਹੈ - ਜਿਵੇਂ CSPM ਕਲਾਉਡ ਲਈ ਕਰਦਾ ਹੈ ਅਤੇ DSPM ਡੇਟਾ ਲਈ ਕਰਦਾ ਹੈ। ਗਾਰਟਨਰ ਨੇ ਇਸਨੂੰ ਆਪਣੇ 2025 ਹਾਈਪ ਸਾਈਕਲ ਫਾਰ ਡੇਟਾ ਸੁਰੱਖਿਆ ਵਿੱਚ ਇੱਕ ਸ਼੍ਰੇਣੀ ਵਜੋਂ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ ਹੈ। Xygeni ਦਾ AI-SPM ਉਸ ਵਸਤੂ ਸੂਚੀ ਨੂੰ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਇੱਕ AI-BOM ਨਾਲ ਸਮਰਥਨ ਦਿੰਦਾ ਹੈ, ਸੁਰੱਖਿਆ ਅਤੇ ਪਾਲਣਾ ਟੀਮਾਂ ਨੂੰ ਸਬੂਤ ਦਿੰਦਾ ਹੈ ਜੋ ਉਹ ਇੱਕ ਆਡੀਟਰ ਨੂੰ ਸੌਂਪ ਸਕਦੇ ਹਨ।
- ਕੀ ਏਆਈ-ਜਨਰੇਟਿਡ ਬਣਾਉਂਦਾ ਹੈ code security ਰਵਾਇਤੀ ਤੋਂ ਵੱਖਰਾ SAST or SCA?
ਰਵਾਇਤੀ ਸਥਿਰ ਵਿਸ਼ਲੇਸ਼ਣ ਅਤੇ ਨਿਰਭਰਤਾ ਸਕੈਨਿੰਗ ਕੋਡ ਅਤੇ ਪੈਕੇਜਾਂ ਨੂੰ ਸਮਝਣ ਲਈ ਬਣਾਈ ਗਈ ਸੀ, ਨਾ ਕਿ AI-ਵਿਸ਼ੇਸ਼ ਜੋਖਮ ਨੂੰ ਸਮਝਣ ਲਈ। ਉਹ ਤੁਰੰਤ ਟੀਕਾ, ਖਤਰਨਾਕ ਨਿਯਮ ਜਾਂ ਹੁਨਰ ਫਾਈਲਾਂ, MCP ਟੂਲ ਜ਼ਹਿਰ, ਜਾਂ ਸਲੋਪਸਕੈਟਡ ਪੈਕੇਜ ਨਾਮ ਨਹੀਂ ਦੇਖਦੇ ਜੋ ਇੱਕ AI ਸਹਾਇਕ ਸਥਾਪਤ ਕਰ ਸਕਦਾ ਹੈ। AI-ਤਿਆਰ ਕੀਤਾ ਗਿਆ। code security ਉਸੇ ਵਰਕਫਲੋ ਦੇ ਅੰਦਰ ਬੈਠਣਾ ਪੈਂਦਾ ਹੈ ਜੋ ਡਿਵੈਲਪਰ ਪਹਿਲਾਂ ਹੀ ਵਰਤ ਰਹੇ ਹਨ, ਮਨੁੱਖੀ-ਲਿਖੇ ਅਤੇ AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਦੋਵਾਂ ਨੂੰ ਇਕੱਠੇ ਸਕੈਨ ਕਰਦੇ ਹੋਏ, ਜੋ ਕਿ Xygeni DevAI IDE ਦੇ ਅੰਦਰ ਕਰਦਾ ਹੈ।
- ਲਗਭਗ 40% AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਕਿਉਂ ਹੁੰਦੀਆਂ ਹਨ?
ਏਆਈ ਕੋਡਿੰਗ ਸਹਾਇਕ ਆਪਣੇ ਸਿਖਲਾਈ ਡੇਟਾ ਵਿੱਚ ਪੈਟਰਨਾਂ ਤੋਂ ਸਿੱਖਦੇ ਹਨ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਦੁਬਾਰਾ ਪੈਦਾ ਕਰਦੇ ਹਨ, ਜਿਸ ਵਿੱਚ ਅਸੁਰੱਖਿਅਤ ਸ਼ਾਮਲ ਹਨ, ਅਤੇ ਉਹ ਮੈਨੂਅਲ ਸਮੀਖਿਆ ਦੁਆਰਾ ਜਾਰੀ ਰੱਖਣ ਨਾਲੋਂ ਕਿਤੇ ਤੇਜ਼ੀ ਨਾਲ ਕੋਡ ਤਿਆਰ ਕਰਦੇ ਹਨ। ਸੁਤੰਤਰ ਖੋਜ ਨੇ ਏਆਈ-ਤਿਆਰ ਕੀਤੇ ਨਮੂਨਿਆਂ ਵਿੱਚ OWASP ਸਿਖਰਲੇ 10 ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਉੱਚ ਦਰ ਲਗਾਤਾਰ ਪਾਈ ਹੈ, ਜਿਸ ਵਿੱਚ ਕਰਾਸ-ਸਾਈਟ ਸਕ੍ਰਿਪਟਿੰਗ ਵਰਗੀਆਂ ਕੁਝ ਖਾਮੀਆਂ ਸ਼੍ਰੇਣੀਆਂ ਜ਼ਿਆਦਾਤਰ ਟੈਸਟਾਂ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦੀਆਂ ਹਨ।
- ਕੀ AI-SPM ਸਾਡੇ ਮੌਜੂਦਾ AppSec ਟੂਲਸ ਦੀ ਥਾਂ ਲੈਂਦਾ ਹੈ?
ਨਹੀਂ, ਅਤੇ ਇਸਨੂੰ ਅਜਿਹਾ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਨਹੀਂ ਕਰਨੀ ਚਾਹੀਦੀ। Xygeni ਦੇ AI Triage, Explanation, ਅਤੇ Remediation Xygeni ਦੇ ਆਪਣੇ ਸਕੈਨਰਾਂ ਤੋਂ ਪ੍ਰਾਪਤ ਨਤੀਜਿਆਂ ਅਤੇ ਪਹਿਲਾਂ ਤੋਂ ਮੌਜੂਦ ਤੀਜੀ-ਧਿਰ ਦੇ ਟੂਲਸ ਤੋਂ ਪ੍ਰਾਪਤ ਨਤੀਜਿਆਂ 'ਤੇ ਲਾਗੂ ਹੁੰਦੇ ਹਨ, ਇਸ ਲਈ ਟੀਮਾਂ ਨੂੰ ਉਹਨਾਂ ਦੁਆਰਾ ਪਹਿਲਾਂ ਹੀ ਨਿਵੇਸ਼ ਕੀਤੇ ਗਏ ਨਿਵੇਸ਼ਾਂ ਦੀ ਰਿਪ-ਐਂਡ-ਰਿਪਲੇਸ ਤੋਂ ਬਿਨਾਂ ਏਕੀਕ੍ਰਿਤ AI ਜੋਖਮ ਕਵਰੇਜ ਮਿਲਦੀ ਹੈ।
- ਮੈਂ ਇਸਨੂੰ ਅਮਲ ਵਿੱਚ ਕਿੱਥੇ ਦੇਖ ਸਕਦਾ ਹਾਂ?
Xygeni OWASP AppSec Days Portugal 2026 ਵਿੱਚ ਇੱਕ ਗੋਲਡ ਸਪਾਂਸਰ ਹੈ।, 23-24 ਸਤੰਬਰ ਪੋਰਟੋ ਵਿੱਚ, ਅਤੇ ਟੀਮ ਸਾਈਟ 'ਤੇ ਹੋਵੇਗੀ ਬੂਥ 12 AI-SPM ਰਾਹੀਂ ਗੱਲ ਕਰਨਾ, AI-ਉਤਪੰਨ code security, ਅਤੇ MCP ਅਤੇ ਏਜੰਟਾਂ ਦੀਆਂ ਧਮਕੀਆਂ ਦੀ ਮੌਜੂਦਾ ਲਹਿਰ। ਆਪਣੀ ਟਿਕਟ ਪ੍ਰਾਪਤ ਕਰੋ, ਜਾਂ ਜੇਕਰ ਤੁਸੀਂ ਪੋਰਟੋ ਨਹੀਂ ਪਹੁੰਚ ਸਕਦੇ ਤਾਂ ਸਿੱਧੇ ਸੰਪਰਕ ਕਰੋ।
ਉਸੇ ਹਫ਼ਤੇ, ਅਸੀਂ ਵੀ ਇੱਥੇ ਹਾਂ ਜਰਮਨ OWASP ਦਿਵਸ 2026 ਕਾਰਲਸਰੂਹੇ ਵਿੱਚ, ਏਆਈ ਸੁਰੱਖਿਆ 'ਤੇ ਕੇਂਦ੍ਰਿਤ ਅਤੇ Shieldਦੀ ਲਾਗੂ ਕਰਨ ਵਾਲੀ ਪਰਤ।
