Durante quinze anos, a segurança dos pacotes npm pressupôs uma coisa: que um humano estivesse sentado entre o decisA ideia de adicionar uma dependência e o momento em que ela era gravada no disco eram definidos automaticamente. Alguém digitava o nome do pacote; alguém apertava Enter. Essa suposição está silenciosamente desaparecendo, e isso está acontecendo exatamente no momento em que o npm se tornou o ecossistema de pacotes mais visado da história da cadeia de suprimentos de software.
O histórico do npm, rico em alvos, antes mesmo da IA entrar em cena.
O npm já era o ecossistema para o qual os atacantes gravitavam, e os últimos doze meses mostram o porquê. Setembro de 2025, Shai-Hulud tornou-se o primeiro worm autopropagável a se espalhar pelo npm, transformando os próprios desenvolvedores no mecanismo de distribuição. Março de 2026, axios, Um pacote baixado mais de 100 milhões de vezes por semana foi comprometido com um malware estatal oculto em seu interior. Um mês depois, um pacote quase idêntico... O padrão de worm voltou a atingir o ecossistema npm através dos pacotes SAP. O mesmo roteiro, repetido em grande escala. Três incidentes graves em oito meses, todos em um único registro. Essa é a situação atual. Os agentes de IA mudam o que acontece a seguir.
É também sobre isso que discutiremos no local. Dia OWASP Alemão 202623 e 24 de setembro em Karlsruhe. Mais detalhes no final!
O que muda quando a instalação não é digitada por um humano?
Os assistentes de codificação autônomos não se limitam mais a sugerir código. Cada vez mais, eles decidem que uma dependência é necessária, escolhem um pacote e executam a instalação no meio da tarefa, sem que um humano leia o nome do pacote primeiro. Dois aspectos de como isso acontece devem preocupar qualquer equipe que dependa das práticas de segurança de pacotes npm criadas para um mundo com intervenção humana.
- Agentes têm alucinações nomes de pacotes, e os atacantes sabem disso. Uma pesquisa acadêmica em larga escala gerou mais de dois milhões de amostras de código em dezesseis LLMs (Long-Based Machines) e descobriu que quase um em cada cinco pacotes recomendados simplesmente não existia, resultando em mais de 200,000 nomes alucinatórios únicos. Pior ainda, os pesquisadores descobriram que os mesmos nomes alucinatórios se repetiam em solicitações sugeridas, o que significa que são exploráveis: um atacante pode registrar o nome que um modelo de IA provavelmente sugerirá antes de qualquer outra pessoa e esperar.
- A própria instalação tornou-se um vetor de ataque. Uma vulnerabilidade crítica em uma ponte MCP amplamente utilizada, baixada mais de 437,000 vezes, permitia a execução remota completa de código no momento em que um cliente se conectava a um servidor MCP não confiável, o tipo de conexão que um agente autônomo pode estabelecer por conta própria. O tradicional ponto de verificação de segurança de pacotes npm, em que uma pessoa para para analisar o que está prestes a executar, não existe nesse fluxo de trabalho. O agente decide e executa na mesma etapa.
Duas camadas de segurança para pacotes npm que não dependem da intervenção humana.
É aqui que a segurança de pacotes npm precisa evoluir de "um desenvolvedor lê atentamente" para "a plataforma decide, automaticamente, sempre". O Xygeni AI Security cobre isso com duas camadas distintas.
- MEW (Alerta Antecipado de Malware) observa o próprio registro. Ele analisa continuamente pacotes recém-publicados no npm, PyPI e Maven, e sinaliza os maliciosos por meio de análise comportamental, não por comparação de assinaturas. Isso significa que ele detecta malware antes mesmo de existir uma assinatura pública para ele. Os pacotes sinalizados são pesquisados, confirmados e relatados ao registro público para ajudar a impedir sua distribuição. Isso se aplica tanto a pacotes adicionados manualmente por um desenvolvedor quanto a pacotes selecionados automaticamente por um agente, já que o MEW não se importa com quem iniciou a instalação, mas sim com o que o pacote faz. Ele também faz parte do plano gratuito para desenvolvedores do Xygeni.
- Shield Aplica a política no exato momento em que a instalação ocorre. Ele intercepta o tráfego do npm, PyPI e Maven no nível do sistema operacional, de forma transparente, sem necessidade de reconfiguração do gerenciador de pacotes. Cada instalação é verificada em relação à política da sua organização antes mesmo do pacote ser gravado em disco e antes da execução de qualquer script de instalação. E porque Shield atributos cada decisA política se aplica sempre da mesma forma ao processo exato, PID, executável e linha de comando que a solicitou, independentemente de a solicitação ter vindo do terminal de um desenvolvedor ou de um agente executado autonomamente em segundo plano.cisOs íons são resolvidos em milissegundos a partir do cache, portanto, isso não atrasa ninguém, seja humano ou agente.
Em conjunto, isso significa detecção em nível de registro e aplicação de medidas no momento da instalação, abrangendo os dois momentos em que o risco do pacote npm realmente se materializa.
Esta é a discussão sobre segurança da IA, não um mero detalhe.
A segurança dos pacotes npm é apenas uma parte visível de uma mudança maior: A IA agora faz parte da superfície de ataque.Não se trata apenas de uma ferramenta usada por desenvolvedores. Os mesmos modelos, agentes e servidores MCP que decidem executar um `npm install` são ativos de IA que sua organização utiliza e, na maioria dos casos, não inventaria completamente. Xygeni Segurança AI descobre esses ativos, avalia seu risco em relação ao OWASP Top 10 para aplicações de LLM e, por meio de DevAI, corrige códigos vulneráveis, gerados por IA ou escritos por humanos, dentro do IDE antes de sua distribuição. Escrevemos mais sobre essa estrutura de descoberta-detecção-correção e por que a descoberta por si só não é suficiente em uma publicação complementar sobre Gerenciamento de postura de segurança de IA.
Xygeni no OWASP Day alemão de 2026
Estamos levando exatamente essa conversa para Karlsruhe. A Xygeni é patrocinadora do evento. Dia OWASP Alemão 2026, corrida Setembro 23-24 na IHK Haus der Wirtschaft, juntamente com cerca de 200 profissionais de segurança de aplicações de toda a Alemanha e da região.
Vamos discutir a segurança de pacotes npm em um mundo agentivo: o que MEW e Shield na verdade, captar o que o MCP atual e Os dados sobre ameaças de ocupação irregular de terrenos baldios (slopsquatting) parecem ser:e como a IA é gerada Segurança de Código se integra a um programa que já está em execução. SAST, SCAe segredos sendo escaneados em vez de ficarem separados disso.
Na mesma semana, também estamos em OWASP AppSec Days Portugal 2026 no Porto, onde somos patrocinadores Gold e abordaremos o tema da Gestão de Postura de Segurança com IA de forma mais abrangente. Seja qual for o evento que se encaixe na sua agenda, teremos prazer em conversar!
Perguntas frequentes
Por que a segurança dos pacotes npm precisa ser alterada devido aos agentes de IA?
A maioria das práticas de segurança de pacotes npm pressupõe que um humano revise o nome do pacote antes de instalá-lo. Assistentes de codificação automatizados podem escolher e instalar uma dependência na mesma etapa, sem revisão humana intermediária, o que elimina o ponto de verificação do qual essa prática dependia. A detecção e a aplicação de políticas de segurança precisam ocorrer automaticamente, no registro do sistema e no momento da instalação, independentemente de quem ou o que iniciou a instalação.
O que é slopsquatting?
O "slopsquatting" ocorre quando um atacante registra um nome de pacote que assistentes de codificação de IA provavelmente irão alucinar e recomendar. A pesquisa gerou mais de dois milhões de amostras de código em dezesseis bibliotecas de linguagem natural (LLMs) e descobriu que quase um em cada cinco pacotes recomendados não existia, e que muitos dos mesmos nomes alucinados se repetiam em solicitações sucessivas, tornando-os previsíveis o suficiente para serem registrados antecipadamente.
Qual a diferença entre MEW e Shield?
O MEW monitora o registro: ele examina pacotes npm, PyPI e Maven recém-publicados e sinaliza comportamentos maliciosos antes que exista uma assinatura pública. Shield Monitora a instalação: ela aplica a política da sua organização no nível do sistema operacional no momento em que a instalação de um pacote é solicitada, bloqueando-a antes que chegue ao disco se violar a política. Uma delas é a detecção no momento da publicação, a outra é a aplicação no momento da instalação.
Isso substitui SCA digitalização?
Não. Os serviços de Triagem, Explicação e Remediação por IA da Xygeni aplicam-se tanto às descobertas dos próprios scanners da Xygeni quanto às descobertas provenientes de terceiros. SCA e com as ferramentas AppSec já implementadas, o risco do pacote npm fica coberto sem a necessidade de remover as ferramentas existentes.
Onde posso falar com a Xygeni sobre isso?
A Xygeni estará presente no OWASP Day 2026 na Alemanha, nos dias 23 e 24 de setembro em Karlsruhe, apresentando palestras sobre segurança de pacotes npm e segurança de IA. Também somos patrocinadores Gold do OWASP AppSec Days Portugal 2026, na mesma semana, no Porto.
