ਅੱਠ ਮਹੀਨੇ। ਚਾਰ ਵੱਡੀਆਂ ਘਟਨਾਵਾਂ। ਇੱਕ ਪੈਟਰਨ: ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨ ਨੂੰ ਕੋਈ ਨਵਾਂ ਵਿਰੋਧੀ ਨਹੀਂ ਮਿਲਿਆ, ਇਸਨੂੰ ਇੱਕ ਨਵਾਂ ਹਥਿਆਰ ਮਿਲਿਆ। ਸਤੰਬਰ 2025 ਅਤੇ ਮਈ 2026 ਦੇ ਵਿਚਕਾਰ, ਇੱਕ ਸਵੈ-ਪ੍ਰਚਾਰ ਕਰਨ ਵਾਲਾ ਕੀੜਾ, ਇੱਕ ਰਾਸ਼ਟਰ-ਰਾਜ ਅਦਾਕਾਰ, ਇੱਕ ਨਕਲ ਮੁਹਿੰਮ, ਅਤੇ ਇੱਕ ਹਾਈਜੈਕ ਕੀਤਾ ਗਿਆ AI ਮਾਡਲ, ਹਰੇਕ ਨੇ ਆਪਣਾ ਰਸਤਾ ਲੱਭ ਲਿਆ। pipelineਜਿਸ 'ਤੇ ਲੱਖਾਂ ਡਿਵੈਲਪਰ ਹਰ ਰੋਜ਼ ਭਰੋਸਾ ਕਰਦੇ ਹਨ। ਇਹ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਦਾ ਨਵਾਂ ਰੂਪ ਹੈ: ਤੇਜ਼, ਦੇਖਣ ਵਿੱਚ ਔਖਾ, ਅਤੇ ਉਸੇ AI ਦੁਆਰਾ ਵੱਧ ਤੋਂ ਵੱਧ ਸੰਚਾਲਿਤ ਜਿਸਦੀ ਵਰਤੋਂ ਵਿਕਾਸ ਟੀਮਾਂ ਕੋਡ ਭੇਜਣ ਲਈ ਕਰਦੀਆਂ ਹਨ।
ਜੇਕਰ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਦਾ ਤੁਹਾਡਾ ਮਾਨਸਿਕ ਮਾਡਲ ਅਜੇ ਵੀ ਫਿਸ਼ਿੰਗ ਈਮੇਲਾਂ ਅਤੇ ਅਨਪੈਚਡ ਸਰਵਰਾਂ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ ਅਤੇ ਖਤਮ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਹੇਠਾਂ ਦਿੱਤਾ ਡੇਟਾ ਇਸਨੂੰ ਅਪਡੇਟ ਕਰੇਗਾ।
ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਦਾ ਨਵਾਂ ਰੂਪ
ਸਾਲਾਂ ਤੋਂ, ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖ਼ਤਰਿਆਂ ਦਾ ਅਰਥ ਚੋਰੀ ਹੋਏ ਪ੍ਰਮਾਣ ਪੱਤਰ, ਗਲਤ ਸੰਰਚਿਤ ਸਰਵਰ, ਅਤੇ ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਸੀ। ਉਹ ਜੋਖਮ ਗਾਇਬ ਨਹੀਂ ਹੋਏ ਹਨ: 2022 ਵਿੱਚ 81% ਪੁਸ਼ਟੀ ਕੀਤੇ ਡੇਟਾ ਉਲੰਘਣਾਵਾਂ ਵਿੱਚ ਸਮਝੌਤਾ ਕੀਤੇ ਗਏ ਪ੍ਰਮਾਣ ਪੱਤਰ ਸ਼ਾਮਲ ਸਨ। ਪਰ ਇੱਕ ਨਵੀਂ ਸ਼੍ਰੇਣੀ ਗੱਲਬਾਤ ਦੇ ਕੇਂਦਰ ਵਿੱਚ ਆ ਗਈ ਹੈ: AI ਖਤਰੇ। ਵਿਕਾਸ ਟੀਮਾਂ ਹੁਣ AI ਕੋਡਿੰਗ ਸਹਾਇਕਾਂ, ਏਜੰਟਿਕ ਸਹਿ-ਪਾਇਲਟਾਂ, ਅਤੇ ਮਾਡਲ ਸੰਦਰਭ ਪ੍ਰੋਟੋਕੋਲ (MCP) ਸਰਵਰਾਂ ਨੂੰ ਤੇਜ਼ੀ ਨਾਲ ਸਾਫਟਵੇਅਰ ਬਣਾਉਣ ਲਈ, ਅਤੇ ਉਨ੍ਹਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਹੁਣ ਇੱਕ ਟੀਚਾ ਵੀ ਹੈ। ਖੋਜ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ ਲਗਭਗ 40% AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਵਿੱਚ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਹਨ, ਜਿਸਦਾ ਅਰਥ ਹੈ ਕਿ AI ਦੁਆਰਾ ਵਾਅਦਾ ਕੀਤੀ ਗਈ ਗਤੀ AI ਸੁਰੱਖਿਆ ਜੋਖਮਾਂ ਵਿੱਚ ਅਨੁਪਾਤਕ ਵਾਧੇ ਦੇ ਨਾਲ ਆਉਂਦੀ ਹੈ ਜੋ ਸਿੱਧੇ ਕੋਡਬੇਸ ਵਿੱਚ ਬੇਕ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
ਅੱਠ ਮਹੀਨੇ, ਚਾਰ ਘਟਨਾਵਾਂ: ਏਆਈ ਖ਼ਤਰੇ ਕਿਵੇਂ ਵਧੇ
ਸਭ ਤੋਂ ਸਪੱਸ਼ਟ ਸਬੂਤ ਕਿ ਏਆਈ ਖਤਰੇ ਤੇਜ਼ ਹੋ ਰਹੇ ਹਨ, ਇਹ ਕੋਈ ਭਵਿੱਖਬਾਣੀ ਨਹੀਂ ਹੈ; ਇਹ ਇੱਕ ਜੋ ਪਹਿਲਾਂ ਹੀ ਹੋ ਚੁੱਕਾ ਹੈ ਉਸਦੀ ਸਮਾਂ-ਰੇਖਾ:
- ਸਤੰਬਰ 2025, ਸ਼ਾਈ-ਹੁਲੁਦ: ਪਹਿਲਾ ਸਵੈ-ਪ੍ਰਸਾਰਿਤ npm ਵਰਮ, ਜੋ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਆਪਣੇ ਆਪ ਨੂੰ ਇੱਕ ਡਿਲੀਵਰੀ ਵਿਧੀ ਵਿੱਚ ਬਦਲਦਾ ਹੈ।
- ਮਾਰਚ 2026, ਸਿੱਧ: ਇੱਕ ਪੈਕੇਜ ਦੇ ਅੰਦਰ ਲੁਕਿਆ ਹੋਇਆ ਨੇਸ਼ਨ-ਸਟੇਟ ਮਾਲਵੇਅਰ ਹਫ਼ਤੇ ਵਿੱਚ ਲਗਭਗ 100 ਮਿਲੀਅਨ ਵਾਰ ਆਇਆ।
- ਅਪ੍ਰੈਲ 2026, SAP npm: ਉਸੇ ਕੀੜੇ ਦੇ ਪੈਟਰਨ ਦਾ ਇੱਕ ਛੋਟੇ ਪੈਮਾਨੇ ਦਾ ਦੁਹਰਾਓ, ਤਕਨੀਕ ਦੇ ਪੈਮਾਨੇ ਦਿਖਾ ਰਿਹਾ ਹੈ।
- ਮਈ 2026, ਕਲਾਉਡ ਓਪਸ → ਪ੍ਰੋਂਪਟਮਿੰਕ: ਇੱਕ ਵੱਡਾ ਭਾਸ਼ਾ ਮਾਡਲ ਜੋ ਇੱਕ ਖੁਦਮੁਖਤਿਆਰ ਏਜੰਟ ਦੇ ਅੰਦਰ ਮਾਲਵੇਅਰ ਲਗਾਉਣ ਲਈ ਹਥਿਆਰਬੰਦ ਹੈ, ਜਿਸ ਵਿੱਚ AI ਖੁਦ ਹਮਲੇ ਦੇ ਵੈਕਟਰ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ।
ਹਰੇਕ ਘਟਨਾ ਨੇ ਪਹਿਲਾਂ ਵਾਲੀ ਘਟਨਾ ਨੂੰ ਦੁਬਾਰਾ ਵਰਤਿਆ ਅਤੇ ਸਕੇਲ ਕੀਤਾ। ਇਹ 2026 ਵਿੱਚ AI ਖਤਰਿਆਂ ਦੀ ਪਰਿਭਾਸ਼ਾਤਮਕ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ: ਉਹ ਰਵਾਇਤੀ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਨਾਲੋਂ ਤੇਜ਼ੀ ਨਾਲ ਵਧਦੇ ਹਨ, ਕਿਉਂਕਿ ਉਹੀ ਆਟੋਮੇਸ਼ਨ ਜੋ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਭੇਜਣ ਵਿੱਚ ਮਦਦ ਕਰਦੀ ਹੈ, ਹਮਲਾਵਰਾਂ ਨੂੰ ਫੈਲਣ ਵਿੱਚ ਵੀ ਮਦਦ ਕਰਦੀ ਹੈ।
ਪਰੰਪਰਾਗਤ ਔਜ਼ਾਰ ਇਹਨਾਂ AI ਜੋਖਮਾਂ ਨੂੰ ਕਿਉਂ ਨਹੀਂ ਦੇਖ ਸਕਦੇ
ਰਵਾਇਤੀ ਐਪਸੇਕ ਟੂਲ ਰਿਪੋਜ਼ਟਰੀ 'ਤੇ ਰੁਕ ਜਾਂਦੇ ਹਨ ਅਤੇ ਇਹ ਨਹੀਂ ਜਾਣਦੇ ਕਿ ਮਾਡਲ ਕੀ ਹੈ। ਰਵਾਇਤੀ ਐਂਡਪੁਆਇੰਟ ਟੂਲ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਨੂੰ ਦੇਖਦੇ ਹਨ ਅਤੇ ਪੈਕੇਜਾਂ, MCP ਸਰਵਰਾਂ, ਜਾਂ AI ਸਹਾਇਕਾਂ ਨੂੰ ਨਹੀਂ ਸਮਝਦੇ। ਦੋਵਾਂ ਵਿਚਕਾਰ ਇਹ ਪਾੜਾ ਬਿਲਕੁਲ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ AI ਨੁਕਸਾਨ ਹੋਣ ਤੱਕ ਅਣਜਾਣ, ਅਣਪਛਾਤੇ ਤੌਰ 'ਤੇ ਜ਼ਮੀਨ ਦਾ ਜੋਖਮ ਲੈਂਦਾ ਹੈ।
ਦੋ ਅੰਕੜੇ ਇਸ ਐਕਸਪੋਜ਼ਰ ਨੂੰ ਠੋਸ ਬਣਾਉਂਦੇ ਹਨ: 2025 ਦੀ ਚੌਥੀ ਤਿਮਾਹੀ ਅਤੇ 2026 ਦੀ ਪਹਿਲੀ ਤਿਮਾਹੀ ਦੇ ਵਿਚਕਾਰ AI-ਨਿਸ਼ਾਨਾ ਪ੍ਰਮਾਣ ਪੱਤਰ ਚੋਰੀ 376% ਵਧੀ ਹੈ, ਅਤੇ ਇੱਕ ਸਿੰਗਲ ਖਤਰਨਾਕ MCP ਬ੍ਰਿਜ (CVE-2025-6514) ਨੂੰ ਫੜੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ 437,000 ਵਾਰ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਿਸ ਨਾਲ ਕਲਾਇੰਟ 'ਤੇ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਸੰਭਵ ਹੋ ਸਕਿਆ। ਪਬਲਿਕ MCP ਸਰਵਰ ਡਿਫਾਲਟ ਤੌਰ 'ਤੇ ਵੀ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਹਨ: 5.5% ਕੈਰੀ ਟੂਲ-ਪੋਇਜ਼ਨਿੰਗ ਫਲਾਅ ਅਤੇ 43% ਕੈਰੀ ਕਮਾਂਡ-ਇੰਜੈਕਸ਼ਨ ਫਲਾਅ ਇੰਨੇ ਗੰਭੀਰ ਹਨ ਕਿ ਇੱਕ ਡਿਵੈਲਪਰ ਦੇ ਆਪਣੇ ਟੂਲਿੰਗ ਨੂੰ ਇੱਕ ਸੰਗਠਨ ਦੇ ਸਾਹਮਣੇ ਆਉਣ ਵਾਲੇ ਵਧੇਰੇ ਗੰਭੀਰ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਬਦਲ ਸਕਦੇ ਹਨ।
ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨ ਅਜੇ ਵੀ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਦਾ ਸਭ ਤੋਂ ਵੱਡਾ ਸਰੋਤ ਹੈ
ਏਆਈ ਨੇ ਇਸ ਸਮੱਸਿਆ ਦੀ ਖੋਜ ਨਹੀਂ ਕੀਤੀ, ਇਸਨੇ ਇਸਨੂੰ ਵਧਾਇਆ। ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨ ਪਹਿਲਾਂ ਹੀ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਲਈ ਸਭ ਤੋਂ ਵੱਧ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾਣ ਵਾਲਾ ਐਂਟਰੀ ਪੁਆਇੰਟ ਸੀ, ਅਤੇ ਇਹ ਅੰਕੜੇ ਇਸਦੀ ਪੁਸ਼ਟੀ ਕਰਦੇ ਹਨ। 2019 ਤੋਂ 778,500 ਤੋਂ ਵੱਧ ਖਤਰਨਾਕ ਓਪਨ-ਸੋਰਸ ਪੈਕੇਜਾਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, ਅਤੇ ਇਹ ਅੰਕੜਾ ਇੱਕ ਸਾਲ ਵਿੱਚ 156% ਵਧ ਕੇ 512,847 ਪੈਕੇਜਾਂ ਤੱਕ ਪਹੁੰਚ ਗਿਆ ਹੈ। ENISA ਨੇ ਪਾਇਆ ਹੈ ਕਿ 60% ਸਪਲਾਈ ਚੇਨ ਹਮਲਿਆਂ ਨੇ ਇੱਕ ਸਪਲਾਇਰ ਵਿੱਚ ਗਾਹਕਾਂ ਦੇ ਵਿਸ਼ਵਾਸ ਦਾ ਫਾਇਦਾ ਉਠਾਇਆ, ਅਤੇ ਕੁਝ ਅਨੁਮਾਨਾਂ ਅਨੁਸਾਰ ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨ ਹੁਣ ਲਗਭਗ ਹਰ 48 ਘੰਟਿਆਂ ਵਿੱਚ ਇੱਕ ਹਮਲੇ ਦਾ ਅਨੁਭਵ ਕਰਦੀ ਹੈ। ਸਪਲਾਈ ਚੇਨ ਹਮਲੇ 2019 ਅਤੇ 2022 ਦੇ ਵਿਚਕਾਰ 742% ਵਧੇ ਹਨ, ਅਨੁਮਾਨਾਂ ਦੇ ਅਨੁਸਾਰ 45% ਸੰਗਠਨ 2025 ਤੱਕ ਪ੍ਰਭਾਵਿਤ ਹੋਣਗੇ ਅਤੇ ਸਾਲਾਨਾ ਲਾਗਤ 2031 ਤੱਕ $138 ਬਿਲੀਅਨ ਤੱਕ ਪਹੁੰਚ ਜਾਵੇਗੀ; ਇਸ ਸਾਲ ਹੀ ਸਾਫਟਵੇਅਰ ਸਪਲਾਈ ਚੇਨ ਹਮਲਿਆਂ ਦੀ ਲਾਗਤ $60 ਬਿਲੀਅਨ ਹੋਣ ਦਾ ਅਨੁਮਾਨ ਹੈ।
ਉਹੀ ਨਿਰਭਰਤਾ ਅਤੇ pipeline ਇਹਨਾਂ ਕਲਾਸਿਕ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਨੂੰ ਪੈਦਾ ਕਰਨ ਵਾਲੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਹੁਣ AI ਜੋਖਮ ਵੀ ਰੱਖਦੀਆਂ ਹਨ: ਇੱਕ ਸਮਝੌਤਾ ਕੀਤਾ ਪੈਕੇਜ, ਇੱਕ ਗਲਤ ਸੰਰਚਿਤ GitHub ਐਕਸ਼ਨ, ਜਾਂ ਇੱਕ ਅਨਪਿੰਨ CI/CD ਕਦਮ ਇੱਕ ਮਨੁੱਖੀ ਡਿਵੈਲਪਰ ਵਾਂਗ ਹੀ ਇੱਕ ਏਆਈ ਏਜੰਟ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾ ਸਕਦਾ ਹੈ।
ਕੋਡਬੇਸ ਤੋਂ ਪਰੇ ਵਿਆਪਕ AI ਸੁਰੱਖਿਆ ਜੋਖਮ
ਹਰ AI ਜੋਖਮ ਇੱਕ ਕੋਡ ਫਾਈਲ ਦੇ ਅੰਦਰ ਨਹੀਂ ਰਹਿੰਦਾ। AI ਸੁਰੱਖਿਆ ਜੋਖਮਾਂ ਦਾ ਇੱਕ ਪੂਰਾ ਨਕਸ਼ਾ ਇੱਕ AI ਸੰਪਤੀ ਦੇ ਪੂਰੇ ਜੀਵਨ ਚੱਕਰ ਨੂੰ ਫੈਲਾਉਂਦਾ ਹੈ: ਤੁਰੰਤ ਇੰਜੈਕਸ਼ਨ ਅਤੇ ਸਿਸਟਮ-ਪ੍ਰੋਂਪਟ ਲੀਕੇਜ, ਬਹੁਤ ਜ਼ਿਆਦਾ ਆਗਿਆਕਾਰੀ AI ਸੰਰਚਨਾਵਾਂ ਦੁਆਰਾ ਪ੍ਰਗਟ ਕੀਤਾ ਗਿਆ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ, ਜ਼ਹਿਰੀਲੇ ਵੈਕਟਰ ਅਤੇ ਏਮਬੈਡਿੰਗ, ਦਸਤਾਵੇਜ਼ਾਂ ਅਤੇ ਨਿਯਮ ਫਾਈਲਾਂ ਦੇ ਅੰਦਰ ਲੁਕੀਆਂ ਖਤਰਨਾਕ ਹਦਾਇਤਾਂ, ਅਸੁਰੱਖਿਅਤ MCP ਸੰਰਚਨਾਵਾਂ ਅਤੇ ਅਵਿਸ਼ਵਾਸੀ ਸਰਵਰ, ਕਮਜ਼ੋਰ ਜਾਂ ਢਲਾਣ ਵਾਲੀਆਂ AI ਨਿਰਭਰਤਾਵਾਂ, ਅਤੇ ਬਹੁਤ ਜ਼ਿਆਦਾ ਏਜੰਸੀ, ਜਿੱਥੇ ਇੱਕ AI ਏਜੰਟ ਉਹਨਾਂ ਸੀਮਾਵਾਂ ਤੋਂ ਪਰੇ ਕੰਮ ਕਰਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨਾਲ ਇਸਨੂੰ ਸੰਰਚਿਤ ਕੀਤਾ ਗਿਆ ਸੀ।
ਇਹ ਸ਼੍ਰੇਣੀਆਂ ਸਿੱਧੇ ਤੌਰ 'ਤੇ LLM ਅਰਜ਼ੀਆਂ ਲਈ OWASP ਸਿਖਰਲੇ 10, ਏਜੰਟਿਕ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ OWASP ਸਿਖਰਲੇ 10ਹੈ, ਅਤੇ OWASP MCP ਟੌਪ 10, ਤਿੰਨ ਫਰੇਮਵਰਕ ਤੇਜ਼ੀ ਨਾਲ ਪੂਰੇ ਉਦਯੋਗ ਵਿੱਚ AI ਸੁਰੱਖਿਆ ਜੋਖਮਾਂ ਲਈ ਸਾਂਝੀ ਸ਼ਬਦਾਵਲੀ ਬਣ ਰਹੇ ਹਨ।
ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਦੇ ਸੰਪਰਕ ਨੂੰ ਘਟਾਉਣਾ: ਅਸਲ ਵਿੱਚ ਕੀ ਕੰਮ ਕਰਦਾ ਹੈ
ਇਹ ਡੇਟਾ ਦੋ ਚੀਜ਼ਾਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ ਜੋ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਦੇ ਵਿਰੁੱਧ ਲਗਾਤਾਰ ਕੰਮ ਕਰਦੀਆਂ ਹਨ: ਮੁੱਢਲੀ ਸਫਾਈ ਅਤੇ ਜਲਦੀ ਪਤਾ ਲਗਾਉਣਾ। 98% ਸਾਈਬਰ ਹਮਲਿਆਂ ਨੂੰ ਮੁੱਢਲੀ ਸੁਰੱਖਿਆ ਸਫਾਈ ਨਾਲ ਰੋਕਿਆ ਜਾਂਦਾ ਹੈ, ਫਿਰ ਵੀ 34% ਡੇਟਾ ਉਲੰਘਣਾ ਅਜੇ ਵੀ ਅੰਦਰੂਨੀ ਖਤਰਿਆਂ ਤੋਂ ਪੈਦਾ ਹੁੰਦੀ ਹੈ, ਅਤੇ 60% ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਅਜੇ ਵੀ ਪਹਿਲੀ-ਧਿਰ ਕੋਡ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਹੁੰਦੀਆਂ ਹਨ। GitHub ਖੁਦ ਇਮਯੂਨ ਨਹੀਂ ਹੈ: GitHub ਪਰੂਫ-ਆਫ-ਕੰਸੈਪਟ ਐਕਸਪਲਾਈਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੇ 1.9% ਆਪਣੇ ਆਪ ਵਿੱਚ ਖਤਰਨਾਕ ਹਨ, ਜੋ ਡੇਟਾ ਨੂੰ ਬਾਹਰ ਕੱਢਣ ਜਾਂ ਉਹਨਾਂ ਖੋਜਕਰਤਾਵਾਂ ਨੂੰ ਮਾਲਵੇਅਰ ਤੈਨਾਤ ਕਰਨ ਲਈ ਬਣਾਏ ਗਏ ਹਨ ਜੋ ਉਹਨਾਂ 'ਤੇ ਭਰੋਸਾ ਕਰਦੇ ਹਨ।
ਖਾਸ ਤੌਰ 'ਤੇ AI ਜੋਖਮਾਂ ਲਈ, ਫਿਕਸ ਨੂੰ ਜੀਵਨ ਚੱਕਰ ਵਿੱਚ ਪਹਿਲਾਂ ਜਾਣਾ ਪਵੇਗਾ:
- IDE ਦੇ ਅੰਦਰ ਪ੍ਰਮਾਣਿਤ ਕਰੋ। AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਵਿੱਚ ਅਸੁਰੱਖਿਅਤ ਪੈਟਰਨਾਂ ਨੂੰ ਫੜਨਾ, ਇਸ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਇਹ ਕਦੇ ਵੀ ਇੱਕ ਤੱਕ ਪਹੁੰਚ ਜਾਵੇ pipeline ਨਵੇਂ AI ਸੁਰੱਖਿਆ ਜੋਖਮਾਂ ਦੇ ਸਭ ਤੋਂ ਵੱਡੇ ਸਰੋਤ ਨੂੰ ਬੰਦ ਕਰਦਾ ਹੈ।
- ਦਸਤਖਤ ਮੌਜੂਦ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਮਾਲਵੇਅਰ ਦਾ ਪਤਾ ਲਗਾਓ। ਪ੍ਰਤਿਸ਼ਠਾ-ਅਧਾਰਿਤ ਟੂਲ ਪਰਿਭਾਸ਼ਾ ਅਨੁਸਾਰ ਜ਼ੀਰੋ-ਡੇ ਪੈਕੇਜਾਂ ਨੂੰ ਖੁੰਝਾਉਂਦੇ ਹਨ, ਜੋ ਕਿ ਬਿਲਕੁਲ ਉਹੀ ਪਾੜਾ ਹੈ ਜੋ ਸ਼ਾਈ-ਹੁਲੁਦ, ਐਕਸੀਓਸ, ਅਤੇ SAP npm ਦੁਆਰਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਗਿਆ ਸੀ।
- ਹਰੇਕ AI ਸੰਪਤੀ ਦੀ ਸੂਚੀ ਬਣਾਓ। ਮਾਡਲਾਂ, ਡੇਟਾਸੈੱਟਾਂ, ਏਜੰਟਾਂ, ਅਤੇ MCP ਸਰਵਰਾਂ ਨੂੰ ਨਿਯੰਤਰਿਤ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ, ਜਾਂ ਉਹਨਾਂ 'ਤੇ ਹਮਲਾ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ, ਅਜਿਹੀ ਕੋਈ ਚੀਜ਼ ਜਿਸ ਬਾਰੇ ਟੀਮ ਨੂੰ ਪਤਾ ਨਾ ਹੋਵੇ ਕਿ ਇਹ ਚੱਲ ਰਿਹਾ ਹੈ।
ਜ਼ਾਇਜੇਨੀ ਇਨ੍ਹਾਂ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਨੂੰ ਕਿਵੇਂ ਸੰਬੋਧਿਤ ਕਰਦਾ ਹੈ
ਜ਼ਾਇਗੇਨੀ AI ਖਤਰਿਆਂ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਦੇ ਪਹਿਲੇ ਦਰਜੇ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਮੰਨਦਾ ਹੈ ਨਾ ਕਿ ਬਾਅਦ ਵਿੱਚ ਇੱਕ ਵੱਖਰੀ ਸਮੱਸਿਆ ਵਜੋਂ। DevAI ਡਿਵੈਲਪਰ ਦੇ IDE ਦੇ ਅੰਦਰ ਰੀਅਲ-ਟਾਈਮ ਸੁਰੱਖਿਆ ਪ੍ਰਮਾਣਿਕਤਾ ਲਾਗੂ ਕਰਦਾ ਹੈ, AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਵਿੱਚ ਅਸੁਰੱਖਿਅਤ ਪੈਟਰਨਾਂ ਨੂੰ ਭੇਜਣ ਤੋਂ ਪਹਿਲਾਂ ਫਲੈਗ ਕਰਦਾ ਹੈ। ਮਾਲਵੇਅਰ ਸ਼ੁਰੂਆਤੀ ਚੇਤਾਵਨੀ (MEW) cਦਸਤਖਤ ਮੌਜੂਦ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਨੂੰ ਫੜਨ ਲਈ NPM, PyPI, ਅਤੇ Maven ਨੂੰ ਲਗਾਤਾਰ ਸਕੈਨ ਕਰਦਾ ਹੈ, Shai-Hulud, axios, ਅਤੇ SAP npm ਦੇ ਪਿੱਛੇ ਸਹੀ ਸਪਲਾਈ ਚੇਨ ਪੈਟਰਨ ਨੂੰ ਸੰਬੋਧਿਤ ਕਰਦਾ ਹੈ। AI ਸੁਰੱਖਿਆ ਹਰ AI ਸੰਪਤੀ ਨੂੰ ਖੋਜਦੀ ਹੈ। SDLC, ਇਸਨੂੰ ਉੱਪਰ ਦਿੱਤੇ OWASP ਫਰੇਮਵਰਕ ਦੇ ਵਿਰੁੱਧ ਸਕੋਰ ਕਰਦਾ ਹੈ, ਅਤੇ Shield ਕਿਸੇ ਅਸੁਰੱਖਿਅਤ ਮਾਡਲ, ਏਜੰਟ, ਜਾਂ MCP ਸਰਵਰ ਨੂੰ ਚੱਲਣ ਦੀ ਆਗਿਆ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਅੰਤਮ ਬਿੰਦੂ 'ਤੇ ਨੀਤੀ ਨੂੰ ਲਾਗੂ ਕਰਦਾ ਹੈ।
2026 ਵਿੱਚ AI ਜੋਖਮਾਂ ਦਾ ਵਧੀਆ ਪ੍ਰਬੰਧਨ ਕਰਨ ਵਾਲੀਆਂ ਸੰਸਥਾਵਾਂ ਜ਼ਿਆਦਾਤਰ ਟੂਲ ਨਹੀਂ ਚਲਾ ਰਹੀਆਂ ਹਨ। ਉਹ ਉਹ ਹਨ ਜੋ ਆਪਣੇ ਦੁਆਰਾ ਚਲਾਏ ਜਾ ਰਹੇ ਹਰੇਕ AI ਸੰਪਤੀ ਨੂੰ ਦੇਖ ਸਕਦੇ ਹਨ, ਜੋ ਅਸੁਰੱਖਿਅਤ ਹੈ ਉਸਨੂੰ ਲਾਗੂ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਰੋਕ ਸਕਦੇ ਹਨ, ਅਤੇ ਉਸ ਬੁੱਧੀ ਨੂੰ ਉਹਨਾਂ ਟੂਲਾਂ 'ਤੇ ਲਾਗੂ ਕਰ ਸਕਦੇ ਹਨ ਜੋ ਉਹਨਾਂ ਕੋਲ ਪਹਿਲਾਂ ਤੋਂ ਹਨ।
ਸਵਾਲ
2026 ਵਿੱਚ ਸਭ ਤੋਂ ਵੱਡੇ ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖ਼ਤਰੇ ਕੀ ਹਨ?
ਸਪਲਾਈ ਚੇਨ ਹਮਲੇ ਵਾਲੀਅਮ ਅਤੇ ਲਾਗਤ ਦੇ ਹਿਸਾਬ ਨਾਲ ਸਭ ਤੋਂ ਵੱਡੀ ਸ਼੍ਰੇਣੀ ਬਣੇ ਹੋਏ ਹਨ, ਇਸ ਸਾਲ ਅੰਦਾਜ਼ਨ $60 ਬਿਲੀਅਨ ਦਾ ਨੁਕਸਾਨ ਹੋਇਆ ਹੈ ਅਤੇ ਲਗਭਗ ਹਰ 48 ਘੰਟਿਆਂ ਵਿੱਚ ਇੱਕ ਹਮਲਾ ਹੋਇਆ ਹੈ। ਇਹਨਾਂ ਦੇ ਨਾਲ, AI ਖਤਰੇ ਇੱਕ ਤੇਜ਼ੀ ਨਾਲ ਵਧ ਰਹੀ ਸ਼੍ਰੇਣੀ ਵਜੋਂ ਉਭਰੇ ਹਨ: AI-ਨਿਸ਼ਾਨਾ ਪ੍ਰਮਾਣ ਪੱਤਰ ਚੋਰੀ ਇੱਕ ਤਿਮਾਹੀ ਵਿੱਚ 376% ਵਧੀ ਹੈ, ਅਤੇ Shai-Hulud, axios, ਅਤੇ PromptMink ਵਰਗੀਆਂ ਘਟਨਾਵਾਂ ਦਿਖਾਉਂਦੀਆਂ ਹਨ ਕਿ ਹਮਲਾਵਰ AI ਨੂੰ ਇੱਕ ਨਿਸ਼ਾਨਾ ਅਤੇ ਇੱਕ ਡਿਲੀਵਰੀ ਵਿਧੀ ਦੋਵਾਂ ਵਜੋਂ ਸਰਗਰਮੀ ਨਾਲ ਵਰਤ ਰਹੇ ਹਨ।
ਕੀ ਏਆਈ-ਤਿਆਰ ਕੀਤਾ ਕੋਡ ਸੁਰੱਖਿਆ ਜੋਖਮ ਹੈ?
ਹਾਂ। ਖੋਜ ਦਰਸਾਉਂਦੀ ਹੈ ਕਿ ਲਗਭਗ 40% AI-ਤਿਆਰ ਕੀਤੇ ਕੋਡ ਵਿੱਚ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਹੁੰਦੀਆਂ ਹਨ। ਇਹ ਡਿਵੈਲਪਰ ਦੇ IDE ਦੇ ਅੰਦਰ ਰੀਅਲ-ਟਾਈਮ ਵੈਲੀਡੇਸ਼ਨ ਨੂੰ, ਕੋਡ ਦੇ ਮਰਜ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ, ਸਰੋਤ 'ਤੇ AI ਸੁਰੱਖਿਆ ਜੋਖਮਾਂ ਨੂੰ ਘਟਾਉਣ ਦੇ ਸਭ ਤੋਂ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਬਣਾਉਂਦਾ ਹੈ।
MEW ਕੀ ਹੈ ਅਤੇ ਇਹ AI ਖਤਰਿਆਂ ਨੂੰ ਕਿਵੇਂ ਹੱਲ ਕਰਦਾ ਹੈ?
ਮਾਲਵੇਅਰ ਅਰਲੀ ਵਾਰਨਿੰਗ (MEW) NPM, PyPI, ਅਤੇ Maven ਲਈ Xygeni ਦਾ ਨਿਰੰਤਰ ਸਕੈਨਿੰਗ ਸਿਸਟਮ ਹੈ। ਇਹ ਦਸਤਖਤ ਦੇ ਮੌਜੂਦ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਖਤਰਨਾਕ ਪੈਕੇਜਾਂ ਨੂੰ ਫੜਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਕਿ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ ਕਿਉਂਕਿ ਪ੍ਰਤਿਸ਼ਠਾ-ਅਧਾਰਤ ਟੂਲ ਸਿਰਫ਼ ਉਹੀ ਫੜਦੇ ਹਨ ਜੋ ਪਹਿਲਾਂ ਹੀ ਪਛਾਣਿਆ ਗਿਆ ਹੈ, ਹਾਲੀਆ AI ਖਤਰਿਆਂ ਅਤੇ ਸਪਲਾਈ ਚੇਨ ਵਰਮਾਂ ਦੇ ਪਿੱਛੇ ਸਹੀ ਜ਼ੀਰੋ-ਡੇ ਪੈਟਰਨ ਨੂੰ ਗੁਆਉਂਦੇ ਹਨ।
ਕੀ MCP ਸਰਵਰ AI ਜੋਖਮਾਂ ਦਾ ਅਸਲ ਸਰੋਤ ਹਨ?
ਹਾਂ। ਜਨਤਕ MCP ਸਰਵਰ ਜੰਗਲੀ ਵਿੱਚ ਮਾਪਣਯੋਗ AI ਸੁਰੱਖਿਆ ਜੋਖਮ ਦਿਖਾਉਂਦੇ ਹਨ: 5.5% ਕੈਰੀ ਟੂਲ-ਪੋਇਜ਼ਨਿੰਗ ਖਾਮੀਆਂ ਅਤੇ 43% ਕੈਰੀ ਕਮਾਂਡ-ਇੰਜੈਕਸ਼ਨ ਖਾਮੀਆਂ, ਅਤੇ ਇੱਕ ਸਮਝੌਤਾ ਕੀਤੇ MCP ਬ੍ਰਿਜ ਨੂੰ ਖੋਜ ਤੋਂ ਪਹਿਲਾਂ 437,000 ਵਾਰ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ।
