Amniga silsiladda sahayda ee wakiilka AI wuxuu ahaan jiray mid fudud, inta badan sababtoo ah bini'aadamku had iyo jeer wuxuu taagnaa magaca baakadka iyo dhismaha. Labaatan sano, taasi waxay ahayd qaabka oo dhan: qof ayaa magaca akhrin jiray ka hor inta uusan gelin. Mar walba si taxaddar leh uma aha. Laakiin qof ayaa akhrin jiray.
Hadda way dhammaatay. Maanta weydii qaab AI ah maktabad, qiyaastii mid ka mid ah shan baakadood oo lagu taliyay ma jiraan. Weeraryahannadu way ogyihiin tan, markaa waxay marka hore diiwaangeliyaan magacyadaas. Wakiil ayaa rakibaya, tijaabiya, oo sii wada, mana jiro qof wax akhriya inta u dhaxaysa. Tani waa meesha saxda ah ee amniga silsiladda sahayda ee wakiilka AI uu hadda ku guuldarreysanayo: ma aha xaalad mustaqbalka ah, laakiin gudaha pipelinemaanta ayuu socdaa.
Warshadu waxay labaatan sano ku qaadatay dhisidda kontaroolada horumariyaha akhriya, dib u eega, oo go'aamiya. Horumariyahaas ma aha kontaroolkii ugu dambeeyay ka hor inta uusan ku tiirsanaantu soo gelin dhismaha. Markaa su'aasha dhabta ahi ma aha in AI-ga wakiilku uu keeno khatar cusub, waa waxa dhab ahaantii taagan marka kontaroolada aadanaha la waayo.
Laga bilaabo "AI waxay soo jeedinaysaa" ilaa "AI waxay soo jeedinaysaa"
Laba sano ka hor, duuliye kale ayaa soo jeediyay baloog kood ah, horumariyaha ayaa akhriyay, horumariyahana wuxuu go'aansaday inuu sii hayo iyo in kale. Hawlgalkaas shaqo ayaa inta badan meesha ka baxay. Qalabka wakiillada hadda waxay rakibaan ku-tiirsanaan, waxay wareejiyaan weelasha, waxayna kiciyaan kicinta pipeline iyaga keligood ayay tallaabo qaadaan, badanaa waxay soo sheegaan oo keliya ka dib marka ay wax qaldamaan, oo keliya haddii wax qaldamaan.
Isbeddelku wuxuu ku dhacay marxalado, kooxaha badankooduna way ka sii fog yihiin sidii ay u qireen siyaasaddooda amniga ee qoran. Qalabkii hore ee wakiillada ayaa codsaday oggolaansho ka hor isbeddel kasta, horumariyayaashuna waxay marar badan riixeen "haa" taasoo keentay in tallaabada xaqiijintu ay istaagto wax kasta. Wakiillada maanta badanaa ma weydiiyaan. Waxay kaliya ka joojiyaan ficillada lagu calaamadeeyay inay yihiin kuwo xasaasi ah, sida socodsiinta qoraalka qolofka, iyo mid caadi ah. pull request Waxaa soo saara wakiil ka shaqeeya kumanaan sadar oo aan qofna dhab ahaan u akhrin dhammaad ilaa dhammaad ka hor inta uusan isku darin.
Dhibaatada ruqsadaha ayaa tan isku daraysa. Inta badan dejimaha, wakiilku si fudud ayuu u shaqeeyaa sida horumariyaha, isagoo marin u helaya wax kasta oo mashiinka horumariyaha uu gaari karo: doorsoomayaasha deegaanka, calaamadaha daruuraha, aqoonsiga diiwaangelinta, furayaasha SSH. Marka wakiilku rakibo wax oo qoraalku shido inta lagu jiro rakibiddaas, waxay dhaxlaysaa radiuska qaraxa oo dhan ee aadanaha uu iska dhigayo. Halkan waa meesha amniga silsiladda sahayda ee wakiilka AI uu joojiyo inuu noqdo su'aal siyaasadeed oo uu noqdo su'aal ogolaansho: wakiilku uma baahna ka faa'iidaysi cusub, wuxuu u baahan yahay oo keliya marin u helidda uu hore u haystay.
Kabtanka Docker Maxamed-Cali Caraabi, isagoo isla shirka ka hadlaya, si cad u dhig: "Waxaan u maleynayaa in horumariyaha uu qayb ka yahay dusha sare ee weerarka hadda."
Waa mudan tahay in daacad laga ahaado waxa ay tani beddeshay. Aadanuhu wuxuu akhrinayaa package.json Kala duwanaantu waxay horey u ahayd xakameyn daciif ah; ku dhawaad cidna dhab ahaantii ma xaqiijin ku-tiirsanaan kasta oo ku-meel-gaar ah ka hor inta aysan ansixin isbeddel. Wakiilladu daruuri ma ahayn inay jebiyaan nidaam xooggan. Waxay ka saareen cudurdaarkii ugu dambeeyay ee mid daciif ah. Waxa isbeddelay maaha in khatartu ay cusub tahay, waa inay hadda ku socoto xawaare gebi ahaanba ka duwan: qiyaaso qaar ayaa sheegaya in mugga weerarka silsiladda sahayda ee sannadkii hore uu ahaa qiyaastii shan jeer sannadkii ka horreeyay, qaloocana wuxuu u muuqdaa mid sarreeya halkii uu ka ahaan lahaa mid toosan.
Waqtiga Rakibidda: Maxaa Isbedela Marka Qofna Daawanayo
La moodo magacyada xirmada xaasidnimada lehna ma aha kuwo cusub. Dalbashada Sannado badan ayuu ka faa'iidaysanayay khaladaadka qorista aadanaha: hal xaraf oo khaldan, horumariye-na wuxuu rakibaa wax khaldan. Waxa hadda ka duwan ayaa ah in moodel, ee aan ahayn qof, uu markii hore alifay magaca, sidaasna uu u sameeyo si la saadaalin karo.
Tiradu waxay ka dhigaysaa ganacsi, ee maaha wax xiiso leh. Qiyaastii 20% xirmooyinka ay ku taliyaan moodooyinka isha furan ma jiraan (ku dhawaad 5% moodooyinka ganacsiga), iyo magacyada la sameeyay ee la bartay, 43% waxay si isku mid ah ugu soo noqnoqdaan toban su'aalood oo soo noqnoqda. Soo noqnoqoshadaas ayaa ah waxa ka dhigaya qaabka weerarka mid la beeri karo: weeraryahanku uma baahna inuu qiyaaso waxa horumariyaha uu qori doono. Qaabku wuxuu u sheegaa, si kalsooni leh, bilaash.
Nooc cusub oo loo yaqaan HalluSquatting ayaa sii riixaya. Halkii uu ka daabici lahaa xirmo xaasidnimo ah oo hoos timaada magac khiyaali ah, weeraryahanku wuxuu ku beeraa tilmaamo xaasidnimo gudaha README, faylka xirfadda, ama sharraxaadda server-ka MCP, ka dibna wuxuu sugaa wakiil si uu u muujiyo isla magaca kaydka ama qalabka oo uu u soo jiido. Warqad dhowaan lagu xidhay duritaan degdeg ah ayaa soo sheegtay saadaalin ku dhow oo kaamil ah oo ku saabsan magacyada kaydka been abuurka ah ee mashaariicda cusub, iyo fulinta koodka oo dhammaystiran oo ka dhan ah kaaliyayaasha codeynta dhabta ah oo ay ku jiraan Cursor, Windsurf, iyo Copilot. Sababtoo ah culayska la qaadayo waa qoraal cad halkii uu ka ahaan lahaa kood la fulin karo, inta badan qalabka sawir-qaadista ma laha wax lagu calaamadeeyo.
Sida Xygeni Madaxa cilmi baarista Luis Rodríguez dhig inta lagu guda jiro doodda: "Waxaan sannado badan ku qaadannay dhisidda difaac ka dhan ah xeerka xaasidnimada. Saxiixyo, sanduuqyo ciid ah, falanqayn dhaqan. HalluSquatting uma baahna wax ka mid ah taas. Waxay u baahan tahay oo keliya README qancin leh." Tilmaamaha qoraalka fudud ee wakiilku u akhriyo sida macnaha guud ee la aamini karo ayaa si toos ah u dhaafaya iskaan-qaadayaasha loo sameeyay si loo qabto wax la fulin karo.
Taasi waa lakabka ugu badan ee qalabka AppSec aan weli loo dhisin si loo arko, kaas oo hore loo sameeyaycissababta dhabta ah ee Xygeni Digniinta Hore ee Malware-ka (MEW) Habkani wuxuu ka jiraa heerka madal: falanqayn joogto ah oo waqtiga-dhabta ah oo ku saabsan xirmooyinka cusub ee la daabacay ee diiwaannada sida npm, PyPI, iyo Maven, oo loo sameeyay in lagu qabto dhaqanka xaasidnimada leh ka hor inta uusan jirin saxiix dadweyne, halkii laga sugi lahaa CVE inuu qabsado maalmo ka dib.
Kunteenarada, CI/CD, iyo Asalka: Ma wali caddeyn kartaa waxa ku jira dhismahaaga?
Wakiilku si dhif ah ayuu u joojiyaa inuu ku daro xariiq package.jsonWaxay tafatirtaa faylasha Docker, waxay dib u habeysaa dhismayaasha marxaladaha badan leh, waxayna taabataa pipeline habaynta tooska ah, iyadoo la gelinayo nidaamka dhismaha laftiisa halkii laga geli lahaa geedka isha oo keliya.
Tani waa meesha saxda ah ee jawaabta warshadaha ee silsiladda sahayda, SBOMs iyo SLSA provenance, ayaa la filayay in la sii hayo. Kadib, bishii Maajo 2026, weeraryahan ayaa si qarsoodi ah u sameeyay qof mas'uul ka ah, isagoo isticmaalay calaamadda la xaday si uu u daabaco "agoon" commit iyada oo aan waalid ku jirin taariikhda mashruuca, waxayna u isticmaashay inay sumeyso kayd dhisme. Xirmooyinka ka dhashay, oo ah afar iyo sideetan, ayaa lagu soo raray asal heer sare ah oo si buuxda u ansax ah, oo si sax ah loo saxiixay. Hubin kasta oo otomaatig ah ayaa la maray. Malware-ku wuxuu ahaa mid dhab ah, sidaas darteed, farsamo ahaan, waxay ahaayeen warqadaha caddaynaya sida loo dhisay.
Qaadashada aan raaxada lahayn: asalka ayaa caddaynaya waxa dhismuhu ku sameeyay wax kasta oo la siiyay, maaha waxa la siiyay kalsooni u qalanta. Sunta ku darista ka hor inta uusan jirin wax-soo-saarka, caddeyntuna waa diiwaan daacad ah oo la xaqiijin karo oo ah dhisme aan daacad ahayn. Amniga silsiladda sahayda ee wakiilka AI looma gudbin karo gebi ahaanba qalabka caddeynta ee loo dhisay adduun halkaas oo aadane, oo aan ahayn moodel, uu go'aamiyo waxa galay dhismaha.
Hal wax-ka-qabasho oo wax ku ool ah waa mid aan qurux badnayn laakiin waxtar leh: muddo qaboojin ah, oo la sugayo dhowr maalmood ka dib marka nooc cusub oo xirmo ah la daabaco ka hor inta aan la qaadan. Inta badan dhacdooyinka silsiladda sahayda ee firfircoon ayaa la calaamadeeyaa oo la shaaciyaa daaqadda hore, sidaa darteed dib u dhac shan maalmood ah ayaa dhexdhexaadin lahaa qayb macno leh oo ka mid ah tii sannadkii hore. weeraro qaab dixiri ah, iyadoo aan waxba laga qaban karin marka laga reebo wax degdeg ahiacy.
Git, Review, iyo Baarista Aadanaha ee Yareysa
Dib u eegista koodhka iyo commit Taariikhdu waxay muddo dheer u adeegtay sidii barroosinka kalsoonida ee "qof baa eegay tan." Barroosinkaas wuu gariiraa marka wakiilladu commit, oo si isa soo taraysa isugu milma, iyada oo aan qofna ku jirin wareegga xilligan ay dhacayso.
Wakiil rakibaya xirmo ma aha isla dhibaatada kalsoonida ee horumariyaha oo koobiyaynaya jawaabta Stack Overflow, inkastoo labaduba ay ka boodaan qorista koodka asalka ah. Qayb yar oo Stack Overflow ah waxaa qoray qof dhab ah waxaana si aan rasmi ahayn loogu eegay asxaabta iyada oo loo marayo kor u qaadis iyo hoos u dhac. Talo soo jeedin AI-ku soo saartay waa wax soo saar suurtogal ah oo aan lahayn mid hanti ah, horumariyahana wuxuu gacanta ku koobiyaynayaa magaca xirmada, taariikhda ugu dambeysay ee la cusbooneysiiyay, arrimaha furan. Wakiil rakibaya ma joojiyo mid ka mid ah taas haddii aan wax si cad loo dhisin si loo joojiyo.
Taasi waa dhibaatada dhabta ah ee bidix-beddelka. Bidix-beddelka dhaqameed wuxuu u maleynayaa waxa ugu dhaqsaha badan ee ku jira pipeline waa horumariye la tababari karo, la riixi karo, lana dib u eegi karo. Marka shayga ugu dhaqsaha badan uu yahay wakiil madax-bannaan, amniga bidixda ee wareega waa in dib loogu xiraa kontaroolada uusan wakiilku ka hadli karin: sanduuqa ciidda, xakamaynta ka bixitaanka, iyo daaqadaha qaboojinta, halkii laga isticmaali lahaa dukumenti siyaasadeed oo aan cidina fulin.
Amniga Silsiladda Sahayda Wakiilka AI: Waa Wakiil Ammaan ah Pipeline Dhab ahaantii waxay u baahan tahay
Ka badbaadidda fasalkan cusub ee dirxiga uma baahna sagaal kontarool oo kala duwan oo si fiican loo hirgeliyay maalinta koowaad. Koox kheyraad xaddidan leh, laba ayaa ka muhiimsan inta kale:
- Sandbox wakiilka, had iyo jeer. Ku socodsii microVM ama weel ay ku rakiban yihiin oo keliya buugga mashruuca ee hadda jira, si wakiilka la jabsaday uusan u marin dariiqa calaamadaha martida loo yahay, aqoonsiga, ama faylasha. Kani waa kan ugu jaban ee la heli karo waana kan ugu cudur daarka yar ee laga boodi karo.
- Ku dar daaqad qaboojin ah ka hor intaadan rakibin noocyada cusub ee xirmooyinka. Dhowr maalmood ayaa badanaa ku filan in weerar silsilad sahay ah oo toos ah uu soo baxo oo la shaaciyo ka hor inta uusan gaarin dhismahaaga.
Saddexaad, kooxaha u fidin kara: dhis CVE iyo muuqaalka malware-ka si toos ah gudaha pipeline, sawirka weelka (ma aha oo kaliya koodhka isha, maadaama nuglaanta badan ay ku nool yihiin sawirka salka) iyo natiijooyinka soo baxaya sida pull request faallooyinka horumariyayaashu waxay dhab ahaantii arkaan ka hor inta aysan isku darin.
Dhacdo dhawaan dhacday ayaa ka dhigtay mid la taaban karo. Bishii Luulyo 2026, qaab AI ah oo lagu qiimeeyay gudaha ayaa ka faa'iidaystay hal maalin oo keliya marin shabakadeed oo sanduuqa sanduuqa sanduuqa ah oo keliya, oo ah wakiil kayd ah oo xirmo ah, si uu u gaaro internetka furan, iyada oo aan jirin qof faraya, inuu wax u dhimo kaabayaasha dibadda si loo gaaro yool halbeeg ah. Waddada baxsashada waxay ahayd kaabayaasha ku tiirsanaanta: isku xirka kaliya ee sanduuq kasta oo ciid ah loo dhisay si loo oggolaado inuu dhex maro. Haddii wakiilkaagu u baahan yahay inuu gaaro diiwaanka baakadaha si uu u shaqeeyo, xiriirkaasi ma aha faahfaahin dhinac ah oo ku saabsan qaabka amnigaaga. Waa qaabka amniga. Falanqaynta buuxda ee Xygeni ee sida baxsashadaasi dhab ahaantii u dhacday waxay u qalantaa in la akhriyo: Naqshad ahaan Rogue.
Qodobada Muhiimka ah
- Barta ugu dambeysa ee dadka ayaa baaba'aysa, mana daciifayso. Xakamaynta naqshadaha ee aan ku xirnayn qof akhrinaya magaca xirmada.
- Slopsquatting iyo HalluSquatting waa wax la beeran karo, ee ma aha aragti ahaan. Magacyada soo noqnoqda ee la mala-awaalka ah iyo duritaanka degdegga ah ee qoraalka cad ayaa durba laga faa'iideysanayaa duurjoogta.
- Asalka iyo SBOMs waxay caddaynaysaa waxa dhismuhu sameeyay, ee maaha waxa la quudiyay. Ula dhaqan shahaadada heerka sare sida loogu baahdo, oo aan ku filnayn.
- Xayiraadda, ee maaha ogaanshaha, ayaa ah waxa hadda taagan. Sandwich-ka, xakamaynta bixitaanka, iyo daaqadaha qaboojinta waxay helaan waqti aysan sawir-qaadista ku salaysan saxiixa ku siin karin.
- Soo ururi waxa wakiilladaadu dhab ahaantii gaari karaan. Ma aha dukumeentiga siyaasadda. Calaamadaha dhabta ah, aqoonsiga dhabta ah, iyo shabakadda dhabta ah ee ka baxda.
Qaybtani waxay ka soo xiganaysaa dooddii ka soo baxday Barnaamijka "SafeDev Talk" ee Xygeni.Marka Wakiilada AI ay rakibaan Ku-tiirsanaanta", oo uu ka muuqdo Kabtanka Docker Mohammad-Ali Arâbi. Qaab-dhismeedkiisa adag ee sagaalka xakamaynta oo dhammaystiran ayaa si qoto dheer looga hadlay warsidiisa, Docker Security Dispatch iyo Luis Rodriguez Sarkaalka Cilmi-baarista ee Xygeni.
Su'aalaha Badiya La Weydiiyo: Amniga Silsiladda Sahayda ee Wakiilka AI
Wakiil rakibaya xirmo ma dhibaato kalsooni oo aasaasiyan ka duwan tahay horumariyaha koobiyaynaya soo jeedinta Stack Overflow, mise nooc ka dhakhso badan oo isla mid ah?
Labaduba, cabbirro kala duwan. Habku waa ka dhakhso badan yahay, laakiin farqiga kalsoonida ayaa sidoo kale ka ballaaran qaab-dhismeedka: jawaab Stack Overflow ah ayaa la qoray oo si aan rasmi ahayn u eegay qof, halka talada baakadka ee AI-gu soo saaray ay tahay wax soo saar macquul ah oo aan lahayn dib u eegis la mid ah, horumariyahana wuxuu si gacanta ah u nuqulinayaa wali wuxuu ku dabaqayaa baaritaan aan rasmi ahayn wakiil aan la ilaalin ayaa gebi ahaanba ka boodaya.
Maxay qaadan lahayd SBOM si kalsooni leh loo duubo "wakiil ayaa tan ku daray, waana tan sababta"?
Maanta SBOM iyo asalka standards waxaa lagu dhisay ku-tiirsanaanta ah in aadanuhu uu sameeyay ku-tiirsanaanta kastacision, weli ma haystaan goob ay ku qoran yihiin wakiilkee, nooca moodeelka, ama tilmaamaha keenay isbeddel la bixiyay. Xidhitaanka farqigaas wuxuu u baahan yahay kordhinta qaababka caddaynta ee jira ama raad-raac hubin oo gaar ah oo wakiilku ogyahay oo qabta decisasalka ion oo ay weheliso asalka dhismaha.
Ma jiraa nooc ka mid ah "bidix-ka-bax" oo wali shaqeeya marka waxa ugu dhaqsaha badan ee ku jira pipeline ma wakiil madax-bannaan baa, ma aha horumariye?
Haa, laakiin waa inay beddeshaa barta koontaroolka, ee maaha oo keliya waqtiga. Dib-u-eegista bidix ee ku dhisan dib-u-eegista aadanaha ma cabbirto xawaaraha wakiilka; dib-u-rogidda bidix ee ku dhisan sanduuqa ciidda, xayiraadaha ka-bixidda, iyo dib-u-qaboojinta rakibidda ayaa wali qaban kara wakiil la jabsaday ka hor inta uusan ficilladiisu gaarin wax soo saar, sababtoo ah kontarooladaasi kuma xirna qof wax akhrinaya.
