Um arquivo de habilidades. Um arquivo de regras. Uma configuração de servidor MCP. Três linhas de texto simples. commitDocumentação semelhante à de Ted, revisada como documentação, e nenhuma delas parece código. E, no entanto, cada uma pode silenciosamente reescrever as instruções do seu assistente de IA e o que ele tem permissão para acessar. Essa é a verdade incômoda por trás da segurança da IA. em 2026A indústria passou dois anos se preocupando com o conteúdo do código gerado por IA. O problema mais complexo acabou sendo a própria cadeia de suprimentos de IA: os modelos, agentes, servidores MCP e arquivos de configuração que agora coexistem com seu código-fonte e dependências de código aberto, em grande parte sem inventário e sem revisão. É exatamente por isso que a segurança da cadeia de suprimentos de IA se tornou uma disciplina própria e por que escolher a empresa de segurança de IA certa é tão importante quanto escolher o scanner certo.
A superfície de ataque que ninguém previu no orçamento.
Antigamente, o software tinha poucos pontos de vulnerabilidade que um atacante podia explorar: o código, as dependências, o pipelineA IA adicionou mais duas, e ambas alimentam diretamente a cadeia de suprimentos de IA.
O modelo e o agente. Envenenamento de ferramentas, injeção imediata, autonomia do agente que vai além do que qualquer um pretendia. Uma instrução oculta na descrição de um servidor MCP pode redirecionar silenciosamente as ações de um copiloto, e o desenvolvedor jamais percebe isso.
O ambiente do próprio desenvolvedor. IDEs, copilotos de IA, servidores MCP, CLIs de agentes. Invisíveis para os scanners de segurança de aplicativos legados, que não sabem o que é um modelo, e invisíveis para o EDR, que monitora o sistema operacional e não tem ideia do que seja uma dependência ou uma chamada MCP.
Nada disso é teórico. Nos últimos dezoito meses:
- Uma vulnerabilidade oculta em um arquivo de regras Unicode permitia que atacantes injetassem instruções invisíveis nos arquivos de configuração lidos pelo Copilot e pelo Cursor, introduzindo silenciosamente uma porta dos fundos no código gerado pelo assistente. O GitHub adicionou um aviso sobre isso em 2025.
- Uma falha de injeção de comando em uma ponte MCP popular (CVSS 9.6) atingiu mais de 400,000 downloads antes de ser corrigida, o primeiro caso documentado de execução remota completa de código desencadeada simplesmente pela conexão a um servidor MCP não confiável.
- Um worm npm autopropagável transformou os próprios desenvolvedores no mecanismo de distribuição, e o padrão se repetiu em larga escala nos meses seguintes em outros ecossistemas, um exemplo clássico de falha de segurança na cadeia de suprimentos de IA.
- Os pesquisadores descobriram que uma parcela significativa dos pacotes recomendados pelos LLMs (Modelos de Aprendizagem Baseados em Lógica) sequer existe, sendo nomes "obtidos indevidamente" que um atacante registra antes mesmo que um desenvolvedor real solicite a importação desses pacotes pelo modelo.
A própria pesquisa do Google sobre a segurança da cadeia de suprimentos de software de IA chega a uma conclusão semelhante, mas sob uma perspectiva diferente: modelos encontrados em circulação em 2023 e 2024 pareciam legítimos, embora carregassem código capaz de exfiltrar dados ou instalar uma porta dos fundos após o download. A solução não foi tanto uma nova categoria de ferramenta, mas sim a aplicação de práticas de segurança na cadeia de suprimentos, como rastreabilidade e assinatura, a artefatos que ninguém havia rastreado antes. Em resumo, esse é o problema de segurança da cadeia de suprimentos de IA: os artefatos são novos, mas as práticas necessárias para protegê-los não são.
Por que suas ferramentas atuais não são suficientes?
SAST Lê o código. SCA lê um manifesto de dependências. Nenhum dos dois sabe o que é um modelo, o que um servidor MCP expõe ou o que um arquivo de habilidade instrui um agente a fazer. Essa lacuna é exatamente onde os ataques da era da IA se encontram, no espaço entre o "código que analisamos" e a "IA que adotamos silenciosamente".
O resultado é uma categoria de IA paralela, não. CISAtualmente, só consigo responder a perguntas como: quais modelos estamos executando, quais agentes têm acesso a quais servidores e a qual servidor MCP alguém se conectou na última terça-feira sem avisar ninguém. Responder bem a essa pergunta é a função da segurança da cadeia de suprimentos de IA, e é por isso que as ferramentas genéricas de segurança de aplicativos (AppSec) continuam falhando nesse aspecto.
O que significa, de fato, segurança da IA
Xygeni é a empresa de segurança de IA que trata isso como três movimentos conectados em todo o SDLCDescobrir, detectar e aplicar.
Descubra: saiba qual IA você realmente possui.
A descoberta contínua e automática em seus repositórios revela todos os recursos de IA: modelos, frameworks, conjuntos de dados, endpoints de inferência, agentes, servidores MCP, skills, prompts, guardrailse as ferramentas de codificação de IA que seus desenvolvedores realmente usam. Sem pesquisas. Sem autodeclaração. Se deixou algum rastro em um repositório, ele aparece no inventário, o primeiro e mais básico requisito para a segurança da cadeia de suprimentos de IA.
O gráfico de IA mapeia então como esses ativos se conectam: qual modelo alimenta um conjunto de dados, qual agente invoca qual ferramenta, qual servidor MCP está por trás de qual assistente. Um ativo isolado fornece pouca informação. O gráfico mostra onde o risco se concentra.
A partir dessa mesma descoberta, a Xygeni gera um AI-BOMUm inventário completo e legível por máquina de tudo relacionado à IA em seu software, pronto para auditoria. Quando um órgão regulador, um auditor ou um cliente perguntar qual IA você está utilizando, a resposta se torna um simples download em vez de uma corrida de três semanas.
Detectar: os riscos que os scanners convencionais não conseguem ver
Um scanner de IA dedicado procura por modos de falha específicos de sistemas de IA: injeção de prompts, injeção de ferramentas e invocação de ferramentas não confiáveis, vazamento de dados por meio de recuperação, bypass de prompts do sistema e agência excessiva. Cada descoberta é mapeada para o OWASP Top 10 para candidaturas a mestrado em Direito (LLM) e aponta para o arquivo e a linha exatos que criam a exposição, não para um vago alerta do tipo "revise seu uso de IA".
A mesma camada de detecção trata arquivos de habilidades, arquivos de regras e configurações do MCP como os artefatos de segurança que são, e não como documentação inofensiva. Ela sinaliza habilidades maliciosas ou comprometidas, inspeciona as configurações do servidor MCP em busca de envenenamento de ferramentas e exibe os prompts que realmente controlam suas cargas de trabalho de IA.
Priorize: o funil que elimina o ruído, não as soluções improvisadas.
Cada descoberta é filtrada progressivamente: primeiro, o que é acessível no código do aplicativo; depois, o que é realmente explorável; e, por fim, o que está presente no código que sua equipe está desenvolvendo ativamente. O que chega à fila do desenvolvedor é a lista reduzida que realmente representa uma ameaça à produção, com a referência do framework, a janela de exposição e as orientações de mitigação anexadas.
Impor: interrompa antes que seja executado.
Shield A aplicação de políticas é levada ao próprio endpoint do desenvolvedor: ela bloqueia instalações não autorizadas e maliciosas, modelos não aprovados e servidores MCP não autorizados antes que qualquer coisa seja executada. Por trás disso, está o Xygeni's Alerta antecipado de malware (MEW), que detecta pacotes maliciosos antes mesmo de existir uma assinatura, a camada em que as ferramentas baseadas em reputação ainda confiam porque ninguém denunciou o pacote ainda. É a metade de aplicação da segurança da cadeia de suprimentos com IA: descoberta e detecção informam o que está errado. Shield É isso que realmente o impede.
Sua exposição à IA não se limita apenas ao seu código de IA.
Uma visão completa da segurança da cadeia de suprimentos com IA exige mais do que um inventário modelo, e raramente se resume apenas aos recursos mais chamativos:
- credenciais de fornecedor de IA deixados em arquivos de prompt, configurações de agente ou pipeline Os registros são segredos como quaisquer outros, e a detecção de segredos do Xygeni os captura antes que cheguem a um registro público.
- Dependências vulneráveis de IA e ML carregam vulnerabilidades CVE comuns, reveladas pela mesma análise de composição de software que já cobre o restante da sua pilha. Pesquisas de terceiros sobre a adoção de IA apontaram para a quantidade de pacotes e componentes ocultos presentes na pilha de IA moderna, que é exatamente a superfície que a análise de composição de software foi criada para cobrir.
- Pacotes maliciosos publicado mais rápido do que qualquer aviso pipeline É possível catalogá-los se forem detectados antes da assinatura, a mesma capacidade da MEW que protege o restante da sua cadeia de suprimentos.
A camada agentiva: DevAI e CoreAI
A descoberta e a detecção abrangem o que já está em seus repositórios. DevAI Funciona onde o risco é criado: dentro do IDE, como uma camada contínua e proativa que analisa o código gerado por humanos e IA à medida que é escrito, sem necessidade de avisos. Explica todo o caminho de exploração por trás de uma descoberta e propõe correções validadas pelo MCP que um desenvolvedor pode aplicar com confiança, sem quebrar a compilação.
CoreAI fica acima dos scanners individuais como a camada de inteligência: ela correlaciona código, dependência, pipelineO sistema integra dados de postura em um modelo de risco, responde a perguntas em linguagem natural e produz relatórios executivos que um líder de segurança precisa para demonstrar que a governança está de fato acontecendo, e não apenas sendo alegada.
Amplie o que você já tem em Segurança de IA. Não remova nada.
A objeção mais comum a uma nova categoria de segurança é "já temos ferramentas suficientes". Como uma empresa de segurança com IA, a Xygeni não pede que você substitua nada: a mesma triagem, explicação e priorização aplicadas às suas próprias descobertas são aplicadas igualmente às descobertas das suas ferramentas existentes. SAST, SCAe scanners de terceiros. Sua infraestrutura atual se torna um insumo, não uma vítima, e sua postura de segurança da cadeia de suprimentos de IA melhora sem a necessidade de um projeto de substituição completa.
Por que isso importa agora, e não depois?
Os órgãos reguladores estão convergindo para a mesma expectativa, embora vindos de diferentes direções: a Lei de IA da UE, a NIS2 e a ENS da Espanha pressionam pela criação de inventários e rastreabilidade para sistemas de IA, as mesmas evidências que uma lista de materiais de IA (AI-BOM) visa produzir. A direção a seguir é clara, mesmo que os mecanismos exatos de conformidade ainda estejam sendo definidos: não se pode atestar a existência de IA que nunca foi inventariada, e não se pode alegar segurança na cadeia de suprimentos de IA se a própria cadeia de suprimentos for invisível para você.
Escolher uma empresa de segurança com IA
Nem todas as empresas de segurança de IA definem seus limites da mesma forma. Algumas param na análise do seu próprio código gerado por IA. Outras, no endpoint. A questão da segurança da cadeia de suprimentos de IA é mais abrangente do que qualquer uma dessas abordagens isoladamente: ela engloba o modelo, o agente, o servidor MCP, o arquivo de habilidades e as dependências comuns subjacentes. Essa visão completa do ciclo de vida, da descoberta à aplicação de medidas, em um único console com todas as suas descobertas de segurança de aplicativos, é o que você deve procurar ao avaliar uma empresa de segurança de IA, em vez de uma ferramenta pontual.
Os arquivos que ninguém revisava se tornaram a porta de entrada. A segurança da IA é a disciplina de revisá-los, e a segurança da cadeia de suprimentos da IA é o que faz com que essa disciplina se sustente de ponta a ponta, na mesma plataforma em que você já revisa tudo o mais.
Veja o que sua IA realmente tem permissão para fazer. Comece de graça or agendar uma demonstração.
Perguntas frequentes
O código do Xygeni alguma vez sai da minha infraestrutura?
Não. As varreduras são executadas em seu próprio ambiente e o código-fonte nunca é enviado para os servidores da Xygeni. O inventário de IA e a lista de materiais de IA (AI-BOM) são construídos a partir do que o scanner vê localmente, não a partir de uma cópia enviada externamente.
Qual a diferença entre AI Security, DevAI e CoreAI?
A Segurança por IA descobre e detecta: ela constrói o inventário de IA, a BOM de IA, e encontra riscos como injeção de prompts ou arquivos de habilidades corrompidos. O DevAI funciona dentro do IDE enquanto os desenvolvedores escrevem código, propondo correções conforme necessário. O CoreAI atua acima de ambos, correlacionando descobertas em toda a plataforma e respondendo a perguntas sobre sua postura de segurança em linguagem natural.
Com quais estruturas de segurança de IA o Xygeni está alinhado?
Os resultados correspondem ao OWASP Top 10 para Aplicações de LLM, ao OWASP Top 10 para MCP e ao OWASP Top 10 para Habilidades de Agente, juntamente com o NIST SP 800-218A e CISDiretrizes A/G7 sobre listas de materiais de IA. Esse mapeamento é o que torna a lista de materiais de IA utilizável como evidência de conformidade, em vez de apenas um inventário.
Isso vai sinalizar todas as bibliotecas ou modelos de IA como um risco?
Não. O funil de priorização restringe as descobertas ao que é acessível no código do aplicativo, genuinamente explorável e está em desenvolvimento ativo, portanto, a lista que um desenvolvedor vê é curta, e não um despejo de todos os recursos de IA detectados.
