Nos últimos anos, a segurança de aplicações tinha uma delimitação clara: o repositório e o pipelineEra ali que ficavam os controles, onde as verificações eram executadas, onde as equipes decidiam se algo seria enviado para produção. Tudo se baseava em uma premissa: um desenvolvedor escolhia explicitamente qual código e quais dependências entrariam no sistema.
Essa premissa já não se sustenta. Uma parcela crescente do código atual é escrita, sugerida ou instalada por um agente de IA, muitas vezes sem que ninguém verifique o nome do que está sendo inserido. Quando o decisConforme o código se move, o ataque também se move. Ele se desloca para o início do processo: o momento em que o código é criado, dentro do próprio assistente e nos arquivos que o configuram.
Esta é a sua superfície de ataque de IA: cada modelo, agente, servidor MCP, habilidade e dependência sugerida por IA que agora pode introduzir riscos antes mesmo de um humano analisá-la. A mesma IA em que seus desenvolvedores confiam agora faz parte disso. Este não é um risco futuro. É uma mudança que já aconteceu, e aqui está como ela se manifesta na prática.
Uma onda de ataques, não um incidente isolado.
Nenhuma das opções a seguir é um exercício de laboratório.cise ou um hipotético. Esses são incidentes públicos e documentados, quase todos do último ano, e cada um deles nos aproxima um pouco mais do próprio agente de IA:
- Agosto de 2025, s1ngularidade: Os atacantes roubaram um token de publicação do Nx, um dos sistemas de compilação mais utilizados, e enviaram versões maliciosas para o npm, usando ferramentas de IA para buscar informações confidenciais nas máquinas dos desenvolvedores.
- Setembro de 2025, giz/depuração: Um dos maiores comprometimentos do npm em termos de alcance, 18 pacotes com mais de dois bilhões de downloads semanais, foram tomados através do sequestro da conta de um único mantenedor.
- Setembro de 2025, Shai-Hulud: Um dos primeiros worms documentados capazes de se autopropagar via npm. Sua segunda onda, em novembro, foi mais agressiva e ligada a segredos expostos em mais de 25,000 repositórios.
- Outubro de 2025, importações não utilizadas: Parte da campanha PhantomRaven, onde alucinações de IA introduziram malware real no npm através de uma técnica de slopsquatting.
- Este ano, ClawHub: um registro de habilidades de IA contaminado, onde cinco das sete habilidades mais baixadas eram malware.
A indústria está formalizando a mesma conclusão. O OWASP Top 10 para Aplicações LLM coloca a injeção imediata em primeiro lugar. O OWASP MCP Top 10 (atualmente em versão beta) tem como alvo o protocolo que os agentes usam para se comunicar com as ferramentas. O OWASP Agentic Skills Top 10, um novo projeto em fase de incubação, nomeia habilidades maliciosas como seu principal risco. A OWASP geralmente age com cautela; abrir três frentes simultaneamente, uma delas com urgência, demonstra a rapidez com que as coisas estão evoluindo.
Os três convergem para a mesma ideia: as instruções, ferramentas e configurações de um modelo agora fazem parte da superfície de ataque da IA e geralmente residem dentro do seu próprio repositório. O que levanta a primeira questão importante para suas equipes: quem revisa os arquivos de regras, habilidades e configurações do MCP que estão no seu repositório?
Vetor 1: a habilidade envenenada
Uma habilidade é um arquivo de instruções e capacidades que ensina um agente de IA a executar uma tarefa. Não é a única maneira de moldar o comportamento de um agente (arquivos de regras, hooks, e as configurações do MCP fazem o mesmo), mas todas compartilham uma propriedade: elas viajam dentro do repositório, junto com o código.
Uma pesquisa realizada este ano analisou 4,000 dessas habilidades:
- 36% apresentavam pelo menos uma falha de segurança.
- 13.4% foram considerados críticos.
- Quase 100 continham payloads maliciosos.
A principal mudança: o atacante não visa mais o seu código. Ele visa o agente que escreve o seu código, inserindo instruções ocultas (às vezes usando caracteres invisíveis) que o modelo lê e interpreta como operacionais. Um revisor humano aprova o pull request de boa fé, porque, aos olhos deles, o arquivo parece limpo. O modelo interpreta instruções que o revisor nunca viu.
Isso não é teórico. A vulnerabilidade CVE-2025-59536 (CVSS 8.7) permitia a execução do Claude Code a partir de um repositório não confiável, onde uma configuração maliciosa podia executar comandos antes que o usuário aceitasse a caixa de diálogo de confiança. Uma segunda vulnerabilidade, CVE-2026-21852, permitia a exfiltração de uma chave de API por meio de configuração controlada pelo projeto, sem que o usuário aprovasse nada.
H2: Vetor 2: agachamento desleixado
O nome combina "slop" (o lixo que uma IA às vezes gera) com o clássico ataque de typosquatting. O typosquatting depende de erro humano: um atacante registra um nome de pacote semelhante a um nome popular e espera por um erro de digitação. É aleatório.
Agachamento desleixado Não espera por um erro. No estudo mencionado nesta sessão, 19.7% das referências a pacotes geradas por modelos de IA apontavam para pacotes que não existem. Os modelos tendem a alucinar os mesmos nomes repetidamente, então um atacante observa quais nomes a IA inventa, registra esses nomes com código malicioso e espera pela próxima instalação sugerida pela IA para inseri-lo em seu aplicativo.
A escala não é pequena: Mais de 450,000 novos pacotes maliciosos foram identificados em 2025. Dois exemplos tornam isso concreto:
- Um pesquisador plantou um pacote de teste inofensivo chamado abraçandoface-cli Para provar o ponto. Registrou Mais de 30,000 downloads em três meses.
- importações não utilizadasConforme a linha do tempo acima, tratava-se de um malware confirmado, presente em um registro público, que utilizava exatamente essa técnica. Não se tratava de um teste.
A questão não é se isso pode acontecer com a sua equipe. É quantos pacotes sugeridos por IA estão sendo inseridos no seu código hoje sem que ninguém os revise.
A resposta: standardestão alcançando
Duas forças atuam em paralelo. Enquanto os ataques se intensificam, standardOs corpos estão reagindo:
- NIST SP 800-218A Amplia a estrutura de desenvolvimento de software seguro com práticas específicas para modelos de IA, incluindo evidências de integridade e procedência.
- In Pode 2026, CISA e seus parceiros internacionais do G7 Publicou orientações sobre uma lista de materiais de software para IA, definindo o que deve constar nesse inventário: modelos, conjuntos de dados, componentes, provedores e dependências.
A direção é clara: o SBOM está se expandindo para uma lista de materiais com IA (AI-BOM). Não se pode certificar ou atestar o que não se pode inventariar. E hoje, a maioria das organizações não consegue:
- 43% Não conseguem auditar ou inventariar as ferramentas de IA que já estão utilizando.
- 79% Não têm visibilidade dos agentes de IA e dos sistemas MCP em execução no seu próprio ambiente.
Em ambientes regulamentados, esse inventário está deixando de ser uma boa prática para se tornar uma expectativa contratual ou uma obrigação de conformidade. Mas um inventário apenas informa o que você possui. Por si só, ele não impede um ataque.
A lacuna: um EDR para segurança de aplicativos
SAST e SCA As ferramentas são projetadas para analisar código e dependências, não o comportamento de um agente ou sua configuração. EDR Ela vê processos e conexões de rede, mas normalmente não possui o contexto de segurança de aplicativos necessário para interpretar uma dependência ou a configuração de um agente. Entre essas duas categorias de ferramentas existe uma lacuna, exatamente onde o código está sendo criado atualmente e onde reside a superfície de ataque da IA.
Essa lacuna apresenta três pontos cegos:
- Ativos de IA. Os modelos, agentes e servidores MCP não aparecem no seu painel de controle. SASTou SCAO radar. Você não pode inventariar o que não consegue ver.
- Arquivos de configuração. Habilidades, regras e configurações do MCP moldam o comportamento do agente, mas normalmente são analisadas como se fossem texto simples e inofensivo.
- O pacote é instalado. A Uma dependência maliciosa pode ser executada antes mesmo de se saber que é maliciosa.Em seguida, extraiam segredos e tokens sem a aprovação de ninguém.
Como Xygeni o fecha
O que um EDR faz pelos endpoints, Xygeni O Shield faz isso pelo ciclo de vida de desenvolvimento assistido por IA: ele protege o local onde o código é criado, ao mesmo tempo que compreende o contexto de segurança da aplicação.
- Visibilidade onde SAST e SCA não alcance. Xygeni identifica habilidades maliciosas e arquivos de regras, analisa configurações de MCP e cria um ambiente pronto para auditoria. AI-BOM, mapeado para o Top 10 das habilidades OWASP LLM, MCP e Agentic.
- Inteligência, e não apenas assinaturas. O MEW (Malware Early Warning) analisa o comportamento e o risco de um pacote para bloqueá-lo antes que exista um CVE, um aviso ou uma assinatura pública. A inteligência de rede atualizada corta as conexões com infraestruturas maliciosas conhecidas.
- Um único ponto de controle, do código ao ponto final. Um único agente, implementado sem necessidade de reestruturar o ambiente, com soberania de dados europeia e evidências de conformidade integradas.
Em uma demonstração ao vivo, a aplicação dessa política bloqueou a tentativa de um agente de IA de instalar um pacote malicioso por meio de três caminhos de instalação diferentes (ambiente virtual, gerenciador de pacotes e download direto) antes que a instalação fosse concluída. Tudo foi registrado em tempo real e exportado para um SOC. A integração em um primeiro projeto geralmente leva cerca de uma hora; a expansão da cobertura para toda a organização costuma levar de uma a duas semanas, dependendo da estrutura.
Perguntas frequentes
Qual é a superfície de ataque da IA em um parágrafo?
A superfície de ataque da IA é o conjunto de modelos, agentes, servidores MCP, habilidades, arquivos de regras e dependências sugeridas pela IA por meio dos quais o risco pode entrar em uma aplicação, muitas vezes antes mesmo de uma revisão humana. Ela se estende além do código e das dependências tradicionais, incluindo os arquivos de configuração e as instruções que definem o comportamento de um agente de IA.
Como posso saber se o nome de um pacote sugerido pelo meu assistente de IA é uma alucinação ou apenas legítimo, porém desconhecido?
Valide antes de instalar: verifique o registro e analise o conteúdo e a finalidade reais do pacote, em vez de confiar apenas no nome. O Xygeni automatiza essa validação em tempo real durante a geração de código, de modo que uma instalação é aprovada ou bloqueada antes de ser executada, independentemente de o pacote ser reconhecido ou não.
O slopsquatting afeta todos os modelos de IA da mesma forma?
A pesquisa que embasou a cifra de 19.7% abrangeu múltiplos modelos e constatou que o problema é amplamente disseminado, com pouca variação entre eles. Trata-se de um padrão em todo o desenvolvimento assistido por IA, e não de uma falha específica de um assistente em particular.
Podemos verificar retroativamente se já instalamos um pacote alucinatório ou malicioso?
Sim. A plataforma da Xygeni oferece aos clientes acesso a um banco de dados atualizado de pacotes maliciosos detectados, que podem ser pesquisados em seu inventário de componentes existente. Assim, você pode confirmar com apenas alguns cliques se algum item já instalado representa uma ameaça conhecida.
Quanto tempo leva a implementação em uma organização de médio porte com várias equipes?
A integração em um primeiro projeto geralmente leva cerca de uma hora. A expansão para toda a organização costuma levar de uma a duas semanas, dependendo da estrutura da equipe e das formas de trabalho.
Mapeie sua superfície de ataque de IA, gratuitamente.
Mapeie gratuitamente a pegada de IA do seu aplicativo: crie uma conta e Execute uma primeira verificação em minutosComece com um único aplicativo, veja qual IA está presente nele e identifique qual parte da sua superfície de ataque de IA é perigosa.
*Algumas das funcionalidades mencionadas acima são implementadas por meio do Xygeni Shield e do ASPMMódulos de segurança com IA; a disponibilidade pode variar conforme o plano. Consulte xygeni.io Para obter detalhes atuais do produto.
