Bezpieczeństwo pakietów npm w erze agentów AI

TL; DR

Agenci AI teraz działają npm install bez udziału człowieka. Przez piętnaście lat zabezpieczenia pakietów npm zakładały, że programista zatrzymał się, przeczytał nazwę pakietu i podjął decyzję. Asystenci kodowania agentowego łączą to w jeden autonomiczny krok, usuwając jedyny punkt kontrolny, na którym polegała większość programów zabezpieczających.

Powierzchnia ataku przesunęła się przed obroną. Badania przeprowadzone na szesnastu programach LLM wykazały, że prawie co piąty rekomendowany pakiet nie istniał — ponad 200 000 unikalnych nazw halucynacyjnych, z których wiele powtarzało się w powtarzających się komunikatach i dlatego można było je „farmić”. Jednocześnie krytyczna luka w zabezpieczeniach mostu MCP (ponad 437 000 pobrań) umożliwiła pełne RCE w momencie połączenia agenta z niezaufanym serwerem. Agent podejmuje decyzję i wykonuje ją w tym samym kroku; nie ma przerwy.

Wykrywanie i egzekwowanie zasad musi odbywać się automatycznie za każdym razem, niezależnie od tego, kto zainicjował instalację. MEW obserwuje rejestr — ciągłe skanowanie npm, PyPI i Maven oraz oznaczanie złośliwych pakietów poprzez analizę zachowania, zanim powstanie publiczny podpis. Shield ogląda instalację — przechwytywanie ruchu menedżera pakietów na poziomie systemu operacyjnego i egzekwowanie polityki organizacji zanim cokolwiek dotrze na dysk, w ciągu kilku milisekund, niezależnie od tego, czy żądanie pochodzi z terminala czy autonomicznego agenta.

Bezpieczeństwo pakietów npm to tylko część większej zmiany: ci sami agenci, którzy uruchamiają instalację, są zasobami sztucznej inteligencji, których większość organizacji nie zinwentaryzowała. Bezpieczeństwo sztucznej inteligencji Xygeni zamyka pętlę — odkryj, oceń, napraw. MEW jest zawarte w bezpłatnym pakiecie Developer.

Przez piętnaście lat bezpieczeństwo pakietów npm zakładało jedno: człowiek siedział pomiędzycisjon, aby dodać zależność i moment, w którym wylądowała na dysku. Ktoś wpisał nazwę pakietu; ktoś nacisnął Enter. To założenie po cichu zanika, dokładnie w momencie, gdy npm stał się najczęściej atakowanym ekosystemem pakietów w historii łańcucha dostaw oprogramowania: trzy poważne incydenty w łańcuchu dostaw w ciągu ośmiu miesięcy, samonapędzający się robak, który zamienił programistów w mechanizm dostarczania oprogramowania, oraz pakiet pobierany 100 milionów razy tygodniowo z zainfekowanym złośliwym oprogramowaniem pochodzącym od państwa.

bogata w cele historia npm, jeszcze przed pojawieniem się sztucznej inteligencji

NPM był już ekosystemem, ku któremu ciągnęli atakujący, a ostatnie dwanaście miesięcy pokazuje dlaczego. Wrzesień 2025, Shai-Hulud stał się pierwszym samonapędzającym się robakiem, który rozprzestrzenił się za pośrednictwem npm, zmieniając samych programistów w mechanizm dostarczania oprogramowania. Marzec 2026, axios, Pakiet pobierany ponad 100 milionów razy tygodniowo został zainfekowany ukrytym w nim złośliwym oprogramowaniem pochodzącym od państwa. Miesiąc później, niemal identyczny wzorzec robaka ponownie zaatakował ekosystem npm poprzez pakiety SAP, Ten sam scenariusz, powtarzany na dużą skalę. Trzy poważne incydenty w ciągu ośmiu miesięcy, wszystkie w jednym rejestrze. To punkt odniesienia. Agenci AI zmieniają to, co dzieje się dalej.

O tym również będziemy rozmawiać na miejscu Niemiecki Dzień OWASP 2026, 23-24 września w Karlsruhe. Więcej na koniec!

Co się zmienia, gdy instalacji nie wpisuje człowiek

Asystenci kodowania agentowego nie ograniczają się już do sugerowania kodu. Coraz częściej decydują o potrzebie zależności, wybierają pakiet i uruchamiają instalację w trakcie zadania, bez konieczności wcześniejszego odczytania nazwy pakietu przez człowieka. Dwie kwestie dotyczące sposobu, w jaki to robią, powinny niepokoić każdy zespół korzystający z praktyk bezpieczeństwa pakietów npm, opracowanych z myślą o świecie z udziałem człowieka.

Agenci mają halucynacje nazwy pakietów, a atakujący o tym wiedzą. Zakrojone na szeroką skalę badania akademickie wygenerowały ponad dwa miliony próbek kodu w szesnastu programach LLM i wykazały, że prawie co piąty rekomendowany pakiet w ogóle nie istniał, co stanowi ponad 200 000 unikalnych nazw halucynowanych. Co gorsza, badacze odkryli, że te same nazwy halucynowane powtarzały się w kolejnych komunikatach, co oznacza, że można je „farmić”: atakujący może zarejestrować nazwę, którą model sztucznej inteligencji statystycznie prawdopodobnie zasugeruje, zanim zrobi to ktokolwiek inny, i czekać.
Sama instalacja stała się wektor ataku. Krytyczna luka w zabezpieczeniach powszechnie używanego mostu MCP, pobrana ponad 437 000 razy, umożliwiła pełne zdalne wykonanie kodu w momencie połączenia klienta z niezaufanym serwerem MCP – połączenie, które autonomiczny agent może nawiązać samodzielnie. Tradycyjny punkt kontrolny bezpieczeństwa pakietu npm, czyli zatrzymanie się użytkownika, aby sprawdzić, co zamierza uruchomić, nie istnieje w tym przepływie pracy. Agent podejmuje decyzję i wykonuje ją w tym samym kroku.

Dwie warstwy zabezpieczeń pakietów npm, które nie wymagają ludzkiej uwagi

W tym miejscu bezpieczeństwo pakietów npm musi odejść od zasady „programista uważnie czyta” na rzecz zasady „platforma podejmuje decyzję automatycznie, za każdym razem”. Xygeni AI Security pokrywa to zadanie na dwóch odrębnych warstwach.

MEW (wczesne ostrzeganie przed złośliwym oprogramowaniem) obserwuje sam rejestr. Nieustannie skanuje nowo opublikowane pakiety w npm, PyPI i Maven, a złośliwe pakiety oznacza poprzez analizę zachowania, a nie dopasowywanie sygnatur. Oznacza to, że wychwytuje złośliwe oprogramowanie, zanim w ogóle pojawi się jego publiczna sygnatura. Oznaczone pakiety są sprawdzane, weryfikowane i zgłaszane do rejestru publicznego, aby pomóc w powstrzymaniu dalszej dystrybucji. Dotyczy to zarówno pakietu dodanego ręcznie przez programistę, jak i pakietu wybranego samodzielnie przez agenta, ponieważ MEW nie zwraca uwagi na to, kto zainicjował instalację, lecz na to, co pakiet robi. Jest również częścią bezpłatnego poziomu deweloperskiego Xygeni.
Shield egzekwuje zasady dokładnie w momencie instalacji. Przechwytuje ruch npm, PyPI i Maven na poziomie systemu operacyjnego, transparentnie i bez konieczności rekonfiguracji menedżera pakietów. Każda instalacja jest sprawdzana pod kątem zgodności z polityką organizacji, zanim pakiet trafi na dysk i zanim zostanie wykonany jakikolwiek skrypt instalacyjny. A ponieważ Shield atrybuty każdego decisW zależności od dokładnego procesu, PID, pliku wykonywalnego i wiersza poleceń, który go zażądał, nie ma znaczenia, czy żądanie to pochodziło z terminala programisty, czy z agenta działającego autonomicznie w tle – zasady obowiązują za każdym razem w ten sam sposób.cisjony są rozwiązywane w ciągu jednocyfrowych milisekund z pamięci podręcznej, więc nie spowalniają nikogo, ani człowieka, ani agenta.

Razem jest to wykrywanie na poziomie rejestru i egzekwowanie zasad podczas instalacji, obejmujące dwa momenty, w których ryzyko związane z pakietem npm faktycznie się materializuje.

To jest rozmowa o bezpieczeństwie sztucznej inteligencji, a nie jakaś dodatkowa uwaga

Bezpieczeństwo pakietów npm to tylko jeden widoczny fragment większej zmiany: Sztuczna inteligencja jest teraz częścią powierzchni ataku, nie tylko narzędzie używane przez programistów. Te same modele, agenci i serwery MCP, które decydują się na uruchomienie instalacji npm, to zasoby sztucznej inteligencji, którymi zarządza Twoja organizacja i które w większości przypadków nie są w pełni inwentaryzowane. Xygeni Bezpieczeństwo AI odkrywa te aktywa, ocenia ich ryzyko w porównaniu z OWASP Top 10 dla aplikacji LLM i poprzez DevAI, naprawia podatny kod, generowany przez sztuczną inteligencję lub napisany przez człowieka, w środowisku IDE przed jego wydaniem. Więcej o tym podejściu „odkryj-wykryj-napraw” pisaliśmy w powiązanym wpisie na temat… Zarządzanie postawą bezpieczeństwa AI.

Xygeni na niemieckim OWASP Day 2026

Przenosimy tę właśnie rozmowę do Karlsruhe. Xygeni jest sponsorem Niemiecki Dzień OWASP 2026, działanie Wrzesień 23-24 w IHK Haus der Wirtschaft, gdzie spotka się około 200 specjalistów ds. bezpieczeństwa aplikacji z całych Niemiec i regionu.

Porozmawiamy o bezpieczeństwie pakietów npm w świecie agentów: czym jest MEW i Shield faktycznie złapać, co obecny MCP i tak wyglądają dane dotyczące zagrożeń związanych ze slopsquattingiemi jak generowane przez sztuczną inteligencję code security pasuje do programu, który już działa SAST, SCAi skanowanie sekretów, zamiast siedzieć z dala od nich.

W tym samym tygodniu jesteśmy również w Dni OWASP AppSec Portugal 2026 w Porto, gdzie jesteśmy złotym sponsorem, omawiającym szerzej temat zarządzania postawą bezpieczeństwa AI. Niezależnie od tego, które wydarzenie pasuje do Twojego kalendarza, chętnie porozmawiamy!

MEW (Xygeni's Malware Early Warning) jest dostępny w darmowym pakiecie Developer, bez konieczności podawania numeru karty kredytowej. Obejmuje npm, PyPI i Maven, sygnalizuje złośliwe pakiety poprzez analizę zachowania przed utworzeniem publicznego podpisu i ma zastosowanie do każdej instalacji, niezależnie od tego, czy została zainicjowana przez programistę, czy agenta.

Bezpieczeństwo pakietów npm: co się zmienia, gdy agent AI uruchamia instalację

Posty, które musisz przeczytać