W badaniu kontrolowanym zaprezentowanym w Bezpieczeństwo USENIX 2025Badacze poprosili 16 dużych modeli językowych o wygenerowanie 576 000 próbek kodu. Prawie co piąty pakiet open source rekomendowany przez te modele nie istniał: 205 474 unikalne, fałszywe nazwy pakietów, wymyślone z niczego. Byłoby to ciekawe, gdyby było losowe. Ale nie jest. Czterdzieści trzy procent halucynowanych nazw pojawiało się wielokrotnie w powtarzających się komunikatach. Atakujący nie muszą zgadywać, co wymyśli asystent kodowania. Mogą obserwować, czekać i najpierw zarejestrować nazwę.
To jest sedno problemu Bezpieczeństwo łańcucha dostaw AI W jednym eksperymencie: ta sama sztuczna inteligencja, która przyspiesza rozwój oprogramowania, stała się przewidywalnym i podatnym na ataki punktem wejścia. Pytanie dla zespołów ds. bezpieczeństwa nie brzmi już, czy sztuczna inteligencja ma wpływ na łańcuch dostaw oprogramowania. Chodzi o to, czy można zobaczyć, co robi po obu stronach konfliktu: sztuczna inteligencja pisząca kod, sztuczna inteligencja broniąca pipeline, a sztuczna inteligencja, na którą atakujący wskazuje, jest skierowana w obie strony.
Czym jest bezpieczeństwo łańcucha dostaw AI?
Bezpieczeństwo łańcucha dostaw AI to praktyka ochrony łańcucha dostaw oprogramowania przed zagrożeniami wprowadzanymi lub wzmacnianymi przez sztuczną inteligencję oraz wykorzystywania AI do obrony tego samego łańcucha dostaw. Znajduje się ono na styku dwóch trendów, które większość programów bezpieczeństwa nadal traktuje oddzielnie: kodu generowanego przez AI, który trafia do bazy kodu, oraz ataków wspomaganych przez AI, których celem są zależności, kompilacja. pipelinei otaczających go narzędzi programistycznych.
Tradycyjne bezpieczeństwo aplikacji opiera się na pytaniu, czy w znanym komponencie istnieje znana luka. Bezpieczeństwo łańcucha dostaw AI stawia trudniejsze i szybsze pytania: Czy zależność, którą właśnie zainstalował agent AI, rzeczywiście istnieje, czy też jest halucynacją? Czy ten nowo opublikowany pakiet zachowuje się złośliwie, mimo że nie ma jeszcze jego sygnatury? Jakie modele AI, agenci i połączenia działają w całym cyklu rozwoju oprogramowania i do czego mogą one dotrzeć?
Odpowiadanie na te pytania przy użyciu kodu prędkości to w rzeczywistości cała dyscyplina.
Jak sztuczna inteligencja stała się powierzchnią ataku na łańcuch dostaw
Atakujący przestali eksperymentować ze sztuczną inteligencją już jakiś czas temu. Teraz wbudowują ją w operacje, które atakują bezpośrednio kod i jego zależności, a nie tylko skrzynki odbiorcze i… login stron.
Slopsquatting: broń wymyślona przez sztuczną inteligencję
Technika ta ma już nazwę: przysiady, wymyślony w kwietniu 2025 roku przez Setha Larsona, rezydenta ds. bezpieczeństwa w Python Software Foundation. Mechanizm działania jest prosty i brutalny. Asystenci kodowania AI rutynowo sugerują nazwy pakietów, które nie istnieją. Ponieważ te halucynacje się powtarzają, atakujący może zarejestrować wymyśloną nazwę jako prawdziwy, złośliwy pakiet i czekać, aż kolejny programista (lub kolejny autonomiczny agent) go zainstaluje.
Precedens jest już udokumentowany. W 2023 roku badacz ds. bezpieczeństwa Bar Lanyado opublikował pusty pakiet zastępczy pod nazwą, która modeluje często halucynacje, huggingface-cliW ciągu trzech miesięcy pobrano go ponad 30 000 razy, a halucynacyjne polecenie instalacji pojawiło się nawet w publicznym repozytorium README dużej firmy technologicznej. To był niegroźny test. Ten sam schemat z rzeczywistym ładunkiem jest teraz powtarzalnym modelem biznesowym dla atakujących.
Autonomiczne agenty kodujące pogarszają sytuację, usuwając ostatni ludzki punkt kontrolny. Agent instalujący zależności bez weryfikacji eliminuje ten jedyny moment, w którym programista mógłby zauważyć, że pakiet wygląda nieprawidłowo.
Złośliwe pakiety na skalę przemysłową
Slopsquatting to jedna z taktyk w ramach znacznie większej zmiany. W 2025 roku kampanie z dużą liczbą złośliwych pakietów stał się podstawowym modelem operacyjnym dla ataków na łańcuchy dostaw, ponieważ Xygeni Nowe trendy ataków na bezpieczeństwo aplikacji w 2026 r. Dokumenty. Atakujący przyjęli strategię ekonomii spamu: publikują tysiące złośliwych pakietów, akceptują szybkie usuwanie i polegają na prawdopodobieństwie, a nie na trwałości. Rejestry publiczne rejestrują obecnie setki tysięcy nowych złośliwych pakietów rocznie, a nawet krótkie okno ekspozycji zanieczyszcza kompilacje niższego poziomu.
MCP: nowa, w dużej mierze niezabezpieczona warstwa połączenia
Protokół Model Context Protocol (MCP) umożliwia agentom AI łączenie się z narzędziami i źródłami danych. Tworzy on również nową powierzchnię ataku, której większość skanerów nigdy nie sprawdza. Złośliwy serwer MCP może działać niewidocznie obok legalnych serwerów, do których może uzyskać dostęp każdy agent z uprawnieniami. OWASP opublikował listę 10 najlepszych MCP w 2025 r. katalogowanie tych zagrożeń, od natychmiastowego wstrzyknięcia i zatrucia narzędzia aż po nieautoryzowane serwery, do których może dotrzeć każdy agent w sieci.
Tajemnice wyciekające przez kod generowany przez sztuczną inteligencję
Według Check Point External Risk Management (dawniej Check Point) liczba zagrożonych danych uwierzytelniających wzrosła w 2025 r. o około 160% w porównaniu z 2024 r. Cyberint), częściowo napędzane przez phishing i złośliwe oprogramowanie typu infostealer wspomagane przez sztuczną inteligencję. W środowiskach programistycznych, mapuje się to bezpośrednio na zakodowane na stałe klucze i tokeny w kodzie generowanym przez sztuczną inteligencję. Asystent kodowania, który wchłonął .env plik w jego kontekście może odtworzyć sekret w sugestii, a atakujący skanują go dokładnie w poszukiwaniu tego wzorca.
Aspekt ludzki również nie zniknął. Raport IBM „Cost of a Data Breach Report 2025” wykazał, że wśród naruszeń związanych ze sztuczną inteligencją, 37% wykorzystywało phishing generowany przez sztuczną inteligencję, a 35% – podszywanie się pod deepfake. Techniki te są coraz częściej wymierzone w programistów poprzez fałszywe kontakty z rekruterami i podszywanie się pod konta administratorów.
Jak sztuczna inteligencja chroni łańcuch dostaw
Możliwości, które czynią sztuczną inteligencję niebezpieczną, to właśnie te, które czynią ją użyteczną dla obrońców. W łańcuchu dostaw ten kompromis jest najbardziej widoczny w czterech miejscach.
Wykrywanie złośliwego oprogramowania przed sygnaturą
To jest definiująca funkcja. Tradycyjne skanowanie czeka na znany zły podpis, zanim będzie mogło oznaczyć pakiet, co jest strukturalnie zbyt wolne dla ataków generujących tysiące pobrań w ciągu kilku godzin od publikacji. Wykrywanie oparte na zachowaniu zamiast tego ocenia nowo opublikowany pakiet w momencie jego pojawienia się: jego działania w czasie instalacji, wywołania sieciowe, wzorce zaciemniania i anomalie metadanych. To zamyka okno, od którego zależą kampanie slopsquattingu i typosquattingu. Kampanie npm Shai-Hulud i GlassWorm z końca 2025 roku, których detektory oparte na sygnaturach całkowicie nie wykryły, są prekursorami.cisAnaliza behawioralna jest stworzona po to, aby to wychwycić.
Priorytetyzacja według możliwości wykorzystania, a nie ilości
Najbardziej praktycznym wkładem sztucznej inteligencji w nowoczesne bezpieczeństwo aplikacji nie jest znajdowanie kolejnych problemów, ale redukcja szumu informacyjnego wokół już wykrytych luk. Analiza dostępności określa, czy podatna ścieżka kodu jest faktycznie wykonywana. Ocena podatności na wykorzystanie luk w zabezpieczeniach porównuje rzeczywiste dane dotyczące ataków z surowym numerem CVSS. Razem pozwalają zespołom skupić się na ułamku ustaleń, które reprezentują rzeczywiste, podatne na wykorzystanie ryzyko, zamiast ręcznie selekcjonować tysiące alertów o niskim poziomie zagrożenia.
Wykrywanie anomalii w pipeline poziom
In Badanie Darktrace dotyczące stanu cyberbezpieczeństwa sztucznej inteligencji w 2026 r.Liderzy bezpieczeństwa wskazali wykrywanie zagrożeń i wykrywanie anomalii (72%) jako obszar, w którym sztuczna inteligencja zapewnia największy wpływ, wyprzedzając automatyczną reakcję (48%) i zarządzanie lukami w zabezpieczeniach (47%). CI/CDoznacza to oznaczenie skryptu instalacyjnego, który zachowuje się inaczej niż wszystko, co widziano wcześniej pipelinelub aktualizacja zależności wprowadzająca nieoczekiwane wywołanie sieciowe.
Zautomatyzowana, możliwa do przeglądu naprawa
Oprócz znajdowania i klasyfikowania ryzyka, sztuczna inteligencja generuje teraz rozwiązanie: bezpieczną zmianę kodu specyficzną dla danej struktury przesłaną jako pull request zamiast biletu, który gnije w kolejce. IBM Badania wykazały, że organizacje intensywnie wykorzystujące sztuczną inteligencję i automatyzację w operacjach bezpieczeństwa skróciły całkowity cykl życia naruszenia do 204 dni, w porównaniu z 284 w przypadku tych, które tego nie robiły (około 80 dni szybciej), oszczędzając jednocześnie średnio 1.9 miliona dolarów na każdym naruszeniu. Wykrycie zagrożenia bez jego likwidacji jedynie przenosi zaległości; połączenie selekcji AI z poprawkami generowanymi przez AI zamyka pętlę.
Luka w zarządzaniu, której większość zespołów nie zdołała załatać
Oto niewygodna część. Badanie Darktrace z 2026 roku wykazało, że 77% organizacji korzysta obecnie z generatywnej sztucznej inteligencji w swoim stosie zabezpieczeń, ale tylko 37% ma formalną politykę bezpiecznego korzystania z AI. Ten odsetek spadł z 45% w roku poprzednim. Wdrożenie wyprzedza nadzór, a atakujący wykorzystują tę lukę.
W przypadku zespołów programistycznych widać to wyraźnie: asystenci kodowania AI, agenci i połączenia MCP działają już w całym systemie. SDLC, często bez scentralizowanego wglądu w to, do czego uzyskują dostęp lub co wprowadzili. Większość organizacji potrafi wymienić swoich dostawców chmury. Bardzo niewiele potrafi wymienić wszystkie modele AI, agentów i serwery MCP dostępne z komputera programisty. Ten inwentarz, czyli zestawienie materiałów AI (AI-BOM), stanowi fundament, na którym opiera się reszta zabezpieczeń łańcucha dostaw AI. Nie da się zabezpieczyć czegoś, czego się nie zinwentaryzowało.
Co zespoły AppSec powinny teraz zrobić
średnie naruszenie danych Kosztować 4.44 miliona dolarów w 2025 roku (IBM), a łańcuch dostaw staje się coraz częściej jednym z punktów wejścia. Praktyczna odpowiedź nie brzmi „wdrażanie sztucznej inteligencji” w oderwaniu od kontekstu. To krótka, konkretna lista:
- Zbadaj, co sztuczna inteligencja uruchamia w Twoim systemie SDLC. Modele, agenci, serwery MCP i narzędzia do kodowania AI to zasoby. Najpierw stwórz listę zasobów AI-BOM.
- Traktuj kod generowany przez sztuczną inteligencję tak, jak kod napisany przez człowieka. Kod, który się kompiluje, nie jest automatycznie bezpieczny, a jego zależności zasługują na taką samą ocenę jak każdy inny kod.
- Wykrywaj złośliwe oprogramowanie na podstawie zachowania, a nie sygnatur. Skanowanie oparte na sygnaturach jest strukturalnie zbyt wolne w przypadku kampanii obejmujących dużą liczbę przesyłek i krótki czas ich trwania.
- Priorytetem powinno być podatność na wykorzystanie luk, a nie ilość alertów. Wartość obronna sztucznej inteligencji polega na oddzielaniu realnego ryzyka od szumu informacyjnego, a nie na generowaniu go więcej.
- Zautomatyzuj naprawę, a nie tylko wykrywanie. Wykrycie problemu bez jego rozwiązania spowoduje jedynie przeniesienie zaległości w inne miejsce.
Dokąd zmierza bezpieczeństwo łańcucha dostaw AI
Dwa wzorce zdefiniują kolejne lata. Po pierwsze, ataki stają się przewidywalne na dużą skalę, a nie losowe: slopsquatting działa już odcisDzieje się tak głównie dlatego, że halucynacje sztucznej inteligencji są spójne, co oznacza, że obrona musi przejść od jednorazowych sygnatur do rozpoznawania wzorców, które skaluje się odpowiednio. Po drugie, obrona przechodzi od „alarmowania człowieka” do „identyfikacji, oceny i reakcji przed pojawieniem się zgłoszenia”. Organizacje zyskują przewagę, gdy wychwytują zachowanie złośliwego pakietu w momencie publikacji, a nie czekają na utworzenie CVE.
Sztuczna inteligencja to Twoje najnowsze ryzyko i najlepsza obrona, często w tym samym systemie
Sztuczna inteligencja działa w dwóch kierunkach jednocześnie. Daje atakującym skalowalne, zautomatyzowane narzędzia, a obrońcom możliwość wykrywania i reagowania na skalę, na jaką ręczny przegląd nigdy by nie pozwolił. Ta dwoistość właśnie dlatego bezpieczeństwa łańcucha dostaw sztucznej inteligencji nie można wprowadzić na siłę ani całkowicie zakazać.
To jest ta luka Xygeni został zbudowany, aby zamknąć. Wczesne ostrzeganie przed złośliwym oprogramowaniem (MEW) nieprzerwanie monitoruje rejestry publiczne i prywatne i wykrywa złośliwe pakiety w chwili ich opublikowania, zanim powstanie jakikolwiek podpis, wykorzystując werdykty sztucznej inteligencji weryfikowane przez zespół badawczy. Xygeni Shield Wykorzystuje tę inteligencję w punkcie końcowym programisty: blokuje złośliwe pakiety w momencie instalacji, zanim ich skrypty zostaną uruchomione, i inwentaryzuje narzędzia sztucznej inteligencji, agentów i serwery MCP na każdej maszynie. Razem są one zaprojektowane specjalnie do zwalczania zagrożeń opisanych w tym artykule: slopsquattingu, typosquattingu, pomyłek w zakresie zależności i kompromitacji administratorów, w tym… Shai Hulud i klasy ataków GlassWorm oparte na sygnaturach pominęły narzędzia. W połączeniu z priorytetyzacją opartą na dostępności, AI-BOM w całym SDLCi zautomatyzowanego rozwiązywania problemów z żądaniami ściągnięcia, kodu generowanego przez sztuczną inteligencję i Ataki oparte na sztucznej inteligencji otrzymać taką samą kontrolę, bez spowalniania pracy programistów.
Zacznij za darmo. Plan deweloperski Xygeni kosztuje 0 €: 10 repozytoriów, 200 skanów miesięcznie, do 5 współpracowników, bez konieczności podawania numeru karty kredytowej. Sign up with GitHub, GitLab lub Google i uruchom pierwsze skanowanie w mniej niż 10 minut; Shield Ochrona punktów końcowych wkrótce będzie dostępna w planie dla deweloperów.
FAQ
Czym jest bezpieczeństwo łańcucha dostaw AI?
Bezpieczeństwo łańcucha dostaw sztucznej inteligencji chroni łańcuch dostaw oprogramowania przed zagrożeniami wprowadzanymi lub wzmacnianymi przez sztuczną inteligencję, takimi jak zależności pozorne, generowany przez sztuczną inteligencję kod zawierający luki w zabezpieczeniach i złośliwe połączenia MCP. Jednocześnie sztuczna inteligencja chroni łańcuch za pomocą wykrywania złośliwego oprogramowania na podstawie zachowania, ustalania priorytetów podatności na wykorzystanie luk i automatycznej naprawy.
W jaki sposób sztuczna inteligencja jest wykorzystywana do obrony łańcucha dostaw oprogramowania?
Sztuczna inteligencja umożliwia stosowanie mechanizmów obronnych, których nie potrafią zapewnić narzędzia oparte na sygnaturach: ocenianie zachowania nowo opublikowanego pakietu w chwili jego pojawienia się, określanie, czy podatna ścieżka kodu jest rzeczywiście dostępna, oznaczanie anomalii pipeline aktywność i generowanie poprawek specyficznych dla struktury, pull requests zamiast zaległych biletów.
Dlaczego tradycyjne skanery nie są w stanie wykryć ataków na łańcuchy dostaw wykorzystujących sztuczną inteligencję?
Tradycyjne narzędzia opierają się na znanych sygnaturach i opublikowanych kodach CVE, dlatego oznaczają pakiet dopiero po zidentyfikowaniu go jako złośliwego. Kampanie pakietów o dużej liczbie pobrań i krótkim czasie trwania gromadzą się w ciągu kilku godzin od publikacji (na długo przed powstaniem sygnatury), dlatego wymagane jest wykrywanie oparte na zachowaniu i przed sygnaturą.
Czym jest AI-BOM i dlaczego jest to ważne?
Zestawienie materiałów AI (AI-BOM) to spis wszystkich modeli AI, agentów i połączeń MCP działających w całym cyklu rozwoju oprogramowania. Jest to istotne, ponieważ nie da się zabezpieczyć czegoś, co nie zostało zinwentaryzowane, a większość organizacji nie ma scentralizowanego wglądu w to, do jakich zasobów AI można dotrzeć z komputera programisty.
