TL, DR
Agentes de IA agora executam npm install Sem intervenção humana. Durante quinze anos, a segurança de pacotes npm pressupunha que um desenvolvedor parava, lia o nome do pacote e tomava uma decisão. Os assistentes de codificação agéticos reduzem isso a uma única etapa autônoma, eliminando o único ponto de verificação em que a maioria dos programas de segurança se baseava.
A superfície de ataque se moveu antes das defesas. Uma pesquisa realizada em dezesseis plataformas de gerenciamento de links (LLMs) revelou que quase um em cada cinco pacotes recomendados não existia — mais de 200,000 nomes fictícios únicos, muitos dos quais se repetiam em solicitações sugeridas e, portanto, eram facilmente exploráveis. Ao mesmo tempo, uma vulnerabilidade crítica na ponte MCP (mais de 437,000 downloads) permitia execução remota de código (RCE) completa no momento em que um agente se conectava a um servidor não confiável. O agente decide e executa na mesma etapa; não há pausa.
A detecção e a aplicação de medidas precisam ser automáticas, sempre, independentemente de quem iniciou a instalação. MEW observa o registro — Analisando continuamente o npm, PyPI e Maven, sinalizando pacotes maliciosos por meio de análise comportamental antes que exista uma assinatura pública. Shield observa a instalação — interceptando o tráfego do gerenciador de pacotes no nível do sistema operacional e aplicando a política da sua organização antes que qualquer coisa chegue ao disco, em milissegundos de um dígito, independentemente de a solicitação ter vindo de um terminal ou de um agente autônomo.
A segurança dos pacotes npm é apenas uma parte de uma mudança maior: Os mesmos agentes que executam a instalação são ativos de IA que a maioria das organizações não inventariou. Segurança de IA da Xygeni Fecha esse ciclo — descobrir, pontuar, corrigir. O MEW está incluído no nível gratuito para desenvolvedores.
Durante quinze anos, a segurança dos pacotes npm pressupôs uma coisa: que um humano estivesse sentado entre o decisA ideia de que adicionar uma dependência era um processo simples e imediato, seguido da gravação em disco, era algo como: alguém digitava o nome do pacote e alguém apertava Enter. Essa premissa está silenciosamente desaparecendo, justamente no momento em que o npm se tornou o ecossistema de pacotes mais visado da história da cadeia de suprimentos de software: três grandes incidentes na cadeia de suprimentos em oito meses, um worm autopropagável que transformou desenvolvedores em mecanismos de distribuição e um pacote baixado 100 milhões de vezes por semana comprometido com malware de Estado-nação.
O histórico do npm, rico em alvos, antes mesmo da IA entrar em cena.
O npm já era o ecossistema para o qual os atacantes gravitavam, e os últimos doze meses mostram o porquê. Setembro de 2025, Shai-Hulud tornou-se o primeiro worm autopropagável a se espalhar pelo npm, transformando os próprios desenvolvedores no mecanismo de distribuição. Março de 2026, axios, Um pacote baixado mais de 100 milhões de vezes por semana foi comprometido com um malware estatal oculto em seu interior. Um mês depois, um pacote quase idêntico... O padrão de worm voltou a atingir o ecossistema npm através dos pacotes SAP. O mesmo roteiro, repetido em grande escala. Três incidentes graves em oito meses, todos em um único registro. Essa é a situação atual. Os agentes de IA mudam o que acontece a seguir.
É também sobre isso que discutiremos no local. Dia OWASP Alemão 202623 e 24 de setembro em Karlsruhe. Mais detalhes no final!
O que muda quando a instalação não é digitada por um humano?
Os assistentes de codificação autônomos não se limitam mais a sugerir código. Cada vez mais, eles decidem que uma dependência é necessária, escolhem um pacote e executam a instalação no meio da tarefa, sem que um humano leia o nome do pacote primeiro. Dois aspectos de como isso acontece devem preocupar qualquer equipe que dependa das práticas de segurança de pacotes npm criadas para um mundo com intervenção humana.
- Agentes têm alucinações nomes de pacotes, e os atacantes sabem disso. Uma pesquisa acadêmica em larga escala gerou mais de dois milhões de amostras de código em dezesseis LLMs (Long-Based Machines) e descobriu que quase um em cada cinco pacotes recomendados simplesmente não existia, resultando em mais de 200,000 nomes alucinatórios únicos. Pior ainda, os pesquisadores descobriram que os mesmos nomes alucinatórios se repetiam em solicitações sugeridas, o que significa que são exploráveis: um atacante pode registrar o nome que um modelo de IA provavelmente sugerirá antes de qualquer outra pessoa e esperar.
- A própria instalação tornou-se um vetor de ataque. Uma vulnerabilidade crítica em uma ponte MCP amplamente utilizada, baixada mais de 437,000 vezes, permitia a execução remota completa de código no momento em que um cliente se conectava a um servidor MCP não confiável, o tipo de conexão que um agente autônomo pode estabelecer por conta própria. O tradicional ponto de verificação de segurança de pacotes npm, em que uma pessoa para para analisar o que está prestes a executar, não existe nesse fluxo de trabalho. O agente decide e executa na mesma etapa.
Duas camadas de segurança para pacotes npm que não dependem da intervenção humana.
É aqui que a segurança de pacotes npm precisa evoluir de "um desenvolvedor lê atentamente" para "a plataforma decide, automaticamente, sempre". O Xygeni AI Security cobre isso com duas camadas distintas.
- MEW (Alerta Antecipado de Malware) observa o próprio registro. Ele analisa continuamente pacotes recém-publicados no npm, PyPI e Maven, e sinaliza os maliciosos por meio de análise comportamental, não por comparação de assinaturas. Isso significa que ele detecta malware antes mesmo de existir uma assinatura pública para ele. Os pacotes sinalizados são pesquisados, confirmados e relatados ao registro público para ajudar a impedir sua distribuição. Isso se aplica tanto a pacotes adicionados manualmente por um desenvolvedor quanto a pacotes selecionados automaticamente por um agente, já que o MEW não se importa com quem iniciou a instalação, mas sim com o que o pacote faz. Ele também faz parte do plano gratuito para desenvolvedores do Xygeni.
- Shield Aplica a política no exato momento em que a instalação ocorre. Ele intercepta o tráfego do npm, PyPI e Maven no nível do sistema operacional, de forma transparente, sem necessidade de reconfiguração do gerenciador de pacotes. Cada instalação é verificada em relação à política da sua organização antes mesmo do pacote ser gravado em disco e antes da execução de qualquer script de instalação. E porque Shield atributos cada decisA política se aplica sempre da mesma forma ao processo exato, PID, executável e linha de comando que a solicitou, independentemente de a solicitação ter vindo do terminal de um desenvolvedor ou de um agente executado autonomamente em segundo plano.cisOs íons são resolvidos em milissegundos a partir do cache, portanto, isso não atrasa ninguém, seja humano ou agente.
Em conjunto, isso significa detecção em nível de registro e aplicação de medidas no momento da instalação, abrangendo os dois momentos em que o risco do pacote npm realmente se materializa.
Esta é a discussão sobre segurança da IA, não um mero detalhe.
A segurança dos pacotes npm é apenas uma parte visível de uma mudança maior: A IA agora faz parte da superfície de ataque.Não se trata apenas de uma ferramenta usada por desenvolvedores. Os mesmos modelos, agentes e servidores MCP que decidem executar um `npm install` são ativos de IA que sua organização utiliza e, na maioria dos casos, não inventaria completamente. Xygeni Segurança AI descobre esses ativos, avalia seu risco em relação ao OWASP Top 10 para aplicações de LLM e, por meio de DevAI, corrige códigos vulneráveis, gerados por IA ou escritos por humanos, dentro do IDE antes de sua distribuição. Escrevemos mais sobre essa estrutura de descoberta-detecção-correção e por que a descoberta por si só não é suficiente em uma publicação complementar sobre Gerenciamento de postura de segurança de IA.
Xygeni no OWASP Day alemão de 2026
Estamos levando exatamente essa conversa para Karlsruhe. A Xygeni é patrocinadora do evento. Dia OWASP Alemão 2026, corrida Setembro 23-24 na IHK Haus der Wirtschaft, juntamente com cerca de 200 profissionais de segurança de aplicações de toda a Alemanha e da região.
Vamos discutir a segurança de pacotes npm em um mundo agentivo: o que MEW e Shield na verdade, captar o que o MCP atual e Os dados sobre ameaças de ocupação irregular de terrenos baldios (slopsquatting) parecem ser:e como a IA é gerada Segurança de Código se integra a um programa que já está em execução. SAST, SCAe segredos sendo escaneados em vez de ficarem separados disso.
Na mesma semana, também estamos em OWASP AppSec Days Portugal 2026 no Porto, onde somos patrocinadores Gold e abordaremos o tema da Gestão de Postura de Segurança com IA de forma mais abrangente. Seja qual for o evento que se encaixe na sua agenda, teremos prazer em conversar!
MEW (Alerta Antecipado de Malware da Xygeni) Está disponível no plano gratuito para desenvolvedores, sem necessidade de cartão de crédito. Abrange npm, PyPI e Maven, identifica pacotes maliciosos por meio de análise comportamental antes mesmo de existir uma assinatura pública e se aplica a todas as instalações, independentemente de quem as iniciou, seja um desenvolvedor ou um agente.
Perguntas frequentes
- Por que a segurança dos pacotes npm precisa ser alterada devido aos agentes de IA?
A maioria das práticas de segurança de pacotes npm pressupõe que um humano revise o nome do pacote antes de instalá-lo. Assistentes de codificação automatizados podem escolher e instalar uma dependência na mesma etapa, sem revisão humana intermediária, o que elimina o ponto de verificação do qual essa prática dependia. A detecção e a aplicação de políticas de segurança precisam ocorrer automaticamente, no registro do sistema e no momento da instalação, independentemente de quem ou o que iniciou a instalação.
- Qual a diferença entre MEW e Shield?
O MEW monitora o registro: ele examina pacotes npm, PyPI e Maven recém-publicados e sinaliza comportamentos maliciosos antes que exista uma assinatura pública. Shield Monitora a instalação: ela aplica a política da sua organização no nível do sistema operacional no momento em que a instalação de um pacote é solicitada, bloqueando-a antes que chegue ao disco se violar a política. Uma delas é a detecção no momento da publicação; a outra é a aplicação no momento da instalação.
- Isso substitui SCA digitalização?
Não. Os serviços de Triagem, Explicação e Remediação por IA da Xygeni aplicam-se tanto às descobertas dos próprios scanners da Xygeni quanto às descobertas provenientes de terceiros. SCA e com as ferramentas AppSec já implementadas, o risco do pacote npm fica coberto sem a necessidade de remover as ferramentas existentes.
- Onde posso falar com a Xygeni sobre isso?
A Xygeni estará presente no OWASP Day 2026 na Alemanha, nos dias 23 e 24 de setembro em Karlsruhe, apresentando palestras sobre segurança de pacotes npm e segurança de IA. Também somos patrocinadores Gold do OWASP AppSec Days Portugal 2026, na mesma semana, no Porto.
