Przez ostatnie kilka lat bezpieczeństwo aplikacji miało wyraźną granicę: repozytorium i pipelineTo tam znajdowały się elementy sterujące, tam przeprowadzano skanowanie, tam zespoły decydowały, czy coś trafi do produkcji. Wszystko opierało się na jednym założeniu: programista jawnie decydował, jaki kod i jakie zależności trafią do systemu.
To założenie już nie obowiązuje. Coraz większa część kodu jest dziś pisana, sugerowana lub instalowana przez agenta AI, często bez sprawdzania nazwy pobieranego kodu. KiedycisWraz z ruchem elementów wprowadzanych do kodu, atak również się przemieszcza. Przenosi się on na sam początek procesu: w momencie utworzenia kodu, w samym asystencie i w plikach, które go konfigurują.
To jest Twoja powierzchnia ataku AI: każdy model, agent, serwer MCP, umiejętność i sugerowana przez AI zależność, która może teraz wiązać się z ryzykiem, zanim jeszcze człowiek ją zweryfikuje. Ta sama AI, której ufają Twoi programiści, jest teraz jej częścią. To nie jest przyszłe ryzyko. To zmiana, która już nastąpiła i oto, jak wygląda w praktyce.
Fala ataków, a nie odosobniony incydent
Żadne z poniższych nie jest ćwiczeniem laboratoryjnymcise lub hipotetyczny. Są to publiczne, udokumentowane incydenty, prawie wszystkie z ostatniego roku, a każdy z nich jest nieco bliżej samego agenta AI:
- Sierpień 2025, s1ngularity: atakujący ukradli token publikacyjny z Nx, jednego z najpopularniejszych systemów kompilacji, i przesłali złośliwe wersje do npm, używając narzędzi AI do wyszukiwania sekretów na komputerach programistów.
- Wrzesień 2025, chalk/debug: Jedno z największych naruszeń npm przez Reach: 18 pakietów z ponad dwoma miliardami pobrań tygodniowo, przejętych poprzez przejęcie konta jednego administratora.
- Wrzesień 2025, Shai-Hulud: Jeden z pierwszych udokumentowanych robaków zdolnych do samoistnego rozprzestrzeniania się za pośrednictwem npm. Jego druga fala, w listopadzie, była bardziej agresywna i powiązana z tajnymi informacjami ujawnionymi w ponad 25 000 repozytoriów.
- Październik 2025, niewykorzystane importy: część kampanii PhantomRaven, w której halucynacje sztucznej inteligencji wprowadziły prawdziwe złośliwe oprogramowanie do npm za pomocą techniki slopsquattingu.
- W tym roku ClawHub: zatruty rejestr umiejętności sztucznej inteligencji, w którym pięć z siedmiu najczęściej pobieranych umiejętności okazało się złośliwym oprogramowaniem.
Branża formalizuje ten sam wniosek. Ranking OWASP Top 10 dla aplikacji LLM stawia szybkie wstrzykiwanie na pierwszym miejscu. Ranking OWASP MCP Top 10 (obecnie w fazie beta) koncentruje się na protokole używanym przez agentów do komunikacji z narzędziami. W rankingu OWASP Agentic Skills Top 10, nowym projekcie w fazie inkubatora, złośliwe umiejętności są uznawane za największe ryzyko. OWASP zazwyczaj działa ostrożnie; otwieranie trzech frontów jednocześnie, w tym jednego pilnie, świadczy o tym, jak szybko się to rozwija.
Wszystkie trzy opierają się na tej samej idei: instrukcje, narzędzia i konfiguracje modelu są teraz częścią powierzchni ataku AI i zazwyczaj znajdują się w Twoim własnym repozytorium. Co rodzi pierwsze pytanie, które warto zadać swoim zespołom: kto przegląda pliki reguł, umiejętności i konfiguracje MCP znajdujące się w Twoim repozytorium?
Wektor 1: zatruta umiejętność
Umiejętność to zbiór instrukcji i możliwości, który uczy agenta AI, jak wykonywać zadanie. Nie jest to jedyny sposób kształtowania zachowania agenta (pliki reguł, hooksi konfiguracje MCP robią to samo), ale wszystkie mają jedną wspólną cechę: przemieszczają się wewnątrz repozytorium wraz z kodem.
W tegorocznych badaniach przeanalizowano 4,000 z tych umiejętności:
- 36% miało przynajmniej jedną lukę w zabezpieczeniach.
- 13.4% miało charakter krytyczny.
- Blisko 100 z nich zawierało bezpośrednio złośliwe oprogramowanie.
Kluczowa zmiana: atakujący nie celuje już w Twój kod. Celuje w agenta, który go pisze, umieszczając ukryte instrukcje (czasami używając niewidocznych znaków), które model odczytuje i traktuje jako działające. Recenzent zatwierdza pull request w dobrej wierze, ponieważ w ich oczach plik wygląda na czysty. Model interpretuje instrukcje, których recenzent nigdy nie widział.
To nie jest teoria. Luka CVE-2025-59536 (CVSS 8.7) umożliwiała uruchomienie kodu Claude z niezaufanego repozytorium, gdzie złośliwa konfiguracja mogła uruchamiać polecenia, zanim użytkownik zaakceptował dialog zaufania. Druga luka, CVE-2026-21852, umożliwiała wykradzenie klucza API poprzez konfigurację kontrolowaną przez projekt, bez konieczności zatwierdzania czegokolwiek przez użytkownika.
H2: Wektor 2: przysiady
Nazwa łączy w sobie „slop” (śmieci generowane czasami przez sztuczną inteligencję) z klasycznym atakiem typosquattingowym. Typosquatting opiera się na błędzie ludzkim: atakujący rejestruje nazwę pakietu zbliżoną do popularnej i czeka na literówkę. Dzieje się to losowo.
Przysiady nie czeka na błąd. W badaniu, do którego odniesiono się podczas tej sesji, 19.7% odniesień do pakietów wygenerowanych przez modele AI wskazywało na pakiety, które nie istnieją. Modele mają tendencję do powtarzania tych samych nazw, więc atakujący obserwuje, jakie nazwy wymyśla sztuczna inteligencja, rejestruje te nazwy za pomocą złośliwego kodu i czeka na kolejną sugerowaną przez sztuczną inteligencję instalację, aby wgrać ją do aplikacji.
Skala nie jest mała: w 2025 r. zidentyfikowano ponad 450 000 nowych złośliwych pakietów. Dwa przykłady to ukonkretniają:
- Naukowiec podłożył nieszkodliwy pakiet testowy o nazwie huggingface-cli aby udowodnić swoją rację. Zalogowano ponad 30 000 pobrań w ciągu trzech miesięcy.
- niewykorzystane importy, z powyższej osi czasu, potwierdzono obecność złośliwego oprogramowania na żywo w rejestrze publicznym, przy użyciu dokładnie tej techniki. To nie był test.
Pytanie nie brzmi, czy to może się przytrafić Twojemu zespołowi. Pytanie brzmi, ile pakietów sugerowanych przez sztuczną inteligencję trafia dziś do Twojego kodu, mimo że nikt ich nie sprawdza.
Odpowiedź: standardnadrabiają zaległości
Dwie siły działają równolegle. Podczas gdy ataki przyspieszają, standardciała reagują:
- NIST SP 800-218A rozszerza bezpieczne ramy tworzenia oprogramowania o praktyki specyficzne dla modeli AI, w tym dowody integralności i pochodzenia.
- In Może 2026, CISA i jej międzynarodowi partnerzy z G7 opublikowano wytyczne dotyczące zestawienia materiałów oprogramowania dla sztucznej inteligencji, definiując, co powinno się w nim znaleźć: modele, zestawy danych, komponenty, dostawcy i zależności.
Kierunek jest jasny: SBOM rozszerza się w kierunku AI-BOM. Nie można certyfikować ani poświadczać czegoś, czego nie można zinwentaryzować. A dziś większość organizacji nie może:
- 43% nie mogą przeprowadzić audytu ani dokonać inwentaryzacji narzędzi AI, z których już korzystają.
- 79% nie mają wglądu w agentów AI i systemy MCP działające w ich własnym środowisku.
W środowiskach regulowanych inwentaryzacja ta przechodzi od dobrych praktyk do oczekiwań umownych lub zobowiązań dotyczących zgodności. Jednak inwentaryzacja pokazuje tylko, co posiadasz. Sama w sobie nie blokuje ataku.
Luka: EDR dla AppSec
SAST oraz SCA Narzędzia te służą do analizy kodu i zależności, a nie zachowania agenta lub jego konfiguracji. EDR Widzi procesy i połączenia sieciowe, ale zazwyczaj brakuje mu kontekstu bezpieczeństwa aplikacji, aby zinterpretować zależność lub konfigurację agenta. Pomiędzy tymi dwiema kategoriami narzędzi istnieje luka, dokładnie tam, gdzie tworzony jest kod, a dokładnie tam, gdzie znajduje się powierzchnia ataku na sztuczną inteligencję.
W tej luce są trzy martwe punkty:
- Zasoby sztucznej inteligencji. Modele, agenci i serwery MCP nie są widoczne na Twoim komputerze SASTlub SCARadar. Nie można zinwentaryzować czegoś, czego nie widać.
- Pliki konfiguracyjne. Umiejętności, reguły i konfiguracje MCP kształtują zachowanie agenta, ale zwykle są traktowane tak, jakby były nieszkodliwym, zwykłym tekstem.
- Instalacja pakietów. A złośliwa zależność może zostać uruchomiona zanim zostanie rozpoznana jako złośliwa, a następnie ujawniać sekrety i tokeny bez niczyjej zgody.
Jak Xygeni to zamyka
Co EDR robi dla punktów końcowych, Xygeni Shield wspiera cykl rozwoju oprogramowania wspomagany przez sztuczną inteligencję: chroni miejsce tworzenia kodu, jednocześnie rozumiejąc kontekst bezpieczeństwa aplikacji.
- Widoczność tam, gdzie SAST oraz SCA nie sięgaj. Xygeni oznacza złośliwe umiejętności i pliki reguł, analizuje konfiguracje MCP i tworzy wersję gotową do audytu AI-BOM, zmapowane na 10 najlepszych certyfikatów OWASP LLM, MCP i Agentic Skills.
- Nie tylko podpisy, ale i informacje wywiadowcze. System wczesnego ostrzegania przed złośliwym oprogramowaniem (MEW) analizuje zachowanie i ryzyko związane z pakietem, aby zablokować go, zanim pojawi się CVE, ostrzeżenie lub podpis publiczny. Aktualne dane sieciowe odcinają połączenia z infrastrukturą o znanym złośliwym oprogramowaniu.
- Jeden punkt kontrolny, od kodu do punktu końcowego. Pojedynczy agent, wdrażany bez konieczności przebudowy środowiska, z wbudowaną europejską suwerennością danych i dowodami zgodności.
Podczas demonstracji na żywo ta polityka egzekwowania zablokowała próbę zainstalowania złośliwego pakietu przez agenta AI w trzech różnych ścieżkach instalacji (środowisko wirtualne, menedżer pakietów i bezpośrednie pobieranie) przed zakończeniem instalacji. Wszystkie te działania są rejestrowane w czasie rzeczywistym i można je wyeksportować do centrum operacyjnego (SOC). Wdrożenie pierwszego projektu zajmuje zazwyczaj około godziny; rozszerzenie zasięgu na całą organizację zajmuje od jednego do dwóch tygodni, w zależności od struktury.
FAQ
Jaka jest powierzchnia ataku na sztuczną inteligencję w jednym akapicie?
Powierzchnia ataku AI to zbiór modeli, agentów, serwerów MCP, umiejętności, plików reguł i sugerowanych przez AI zależności, przez które ryzyko może przedostać się do aplikacji, często zanim człowiek ją przejrzy. Wykracza ona poza tradycyjny kod i zależności, obejmując pliki konfiguracyjne i instrukcje, które kształtują zachowanie agenta AI.
Jak mogę stwierdzić, czy nazwa pakietu zaproponowana przez mojego asystenta AI to halucynacja, czy też po prostu nazwa prawdziwa, ale nieznana?
Sprawdź poprawność przed instalacją: sprawdź rejestr i przeanalizuj rzeczywistą zawartość i przeznaczenie pakietu, zamiast ufać tylko nazwie. Xygeni automatyzuje tę walidację w czasie rzeczywistym podczas generowania kodu, dzięki czemu instalacja jest zatwierdzana lub blokowana przed uruchomieniem, niezależnie od tego, czy pakiet jest rozpoznawalny.
Czy slopsquatting wpływa na wszystkie modele sztucznej inteligencji w równym stopniu?
Badania, które doprowadziły do wyniku 19.7%, objęły wiele modeli i wykazały, że problem jest szeroko rozpowszechniony, z niewielkimi różnicami między nimi. Jest to wzorzec w całym rozwoju wspomaganym przez sztuczną inteligencję, a nie wada specyficzna dla jednego asystenta.
Czy możemy sprawdzić wstecz, czy zainstalowaliśmy już pakiet halucynogenny lub złośliwy?
Tak. Platforma Xygeni zapewnia klientom dostęp do utrzymywanej bazy danych wykrytych złośliwych pakietów, którą można przeszukiwać na podstawie istniejącego spisu komponentów. Dzięki temu można kilkoma kliknięciami sprawdzić, czy zainstalowany program stanowi znane zagrożenie.
Ile czasu zajmuje wdrożenie w średniej wielkości organizacji z wieloma zespołami?
Wdrożenie pierwszego projektu zajmuje zazwyczaj około godziny. Skalowanie w całej organizacji zajmuje zazwyczaj od jednego do dwóch tygodni, w zależności od struktury zespołu i metod pracy.
Mapuj swoją powierzchnię ataku AI za darmo
Za darmo zmapuj ślad AI swojej aplikacji: załóż konto i uruchom pierwsze skanowanie w ciągu kilku minutZacznij od pojedynczej aplikacji, sprawdź, jaką sztuczną inteligencję ona zawiera i sprawdź, która część powierzchni ataku AI jest niebezpieczna.
*Niektóre możliwości wymienione powyżej są egzekwowane za pomocą Xygeni Shield i ASPM/Moduły bezpieczeństwa AI; dostępność może się różnić w zależności od planu. Zobacz xygeni.io aby zobaczyć aktualne szczegóły produktu.
