Sannadihii ugu dambeeyay, amniga codsigu wuxuu lahaa xuduud cad: kaydka iyo pipelineHalkaas ayay ku yaalliin kontaroolada, halkaas oo baaritaannada lagu sameeyay, halkaas oo kooxuhu ay go'aansadeen in wax loo diro wax soo saar. Dhammaantood waxay ku tiirsanaayeen hal male: horumariye si cad ayuu u doortay koodhka iyo ku-tiirsanaanta soo gashay nidaamka.
Malahaas ma sii jiro. Saamiga sii kordhaya ee koodhka maanta waxaa qora, soo jeediya, ama rakiba wakiil AI ah, inta badan iyada oo aan cidna eegin magaca waxa la soo jiidanayo. Marka decision-ka waxa soo gala koodka ayaa dhaqaaqa, sidoo kale weerarku wuu socdaa. Waxay u dhaqaaqdaa dhanka hore ee hawsha: marka koodka la sameeyo, gudaha kaaliyaha laftiisa iyo faylasha habeeya.
Kani waa dusha sare ee weerarkaaga AI: nooc kasta, wakiil, adeege MCP ah, xirfad, iyo ku tiirsanaanta AI-ga ee hadda keeni karta khatar ka hor inta uusan aadanuhu dib u eegin. Isla AI-ga aad ku kalsoon tahay horumariyayaashu hadda waa qayb ka mid ah. Tani maaha khatar mustaqbalka ah. Waa isbeddel hore u dhacay, waana kan sida uu u eg yahay ficil ahaan.
Mowjad weerar ah, ma aha dhacdo gooni ah
Midna kama mid aha kuwa soo socda ee sameeya tijaabada shaybaarka.cise ama mala-awaal. Kuwani waa dhacdooyin dadweyne, oo la diiwaangeliyey, ku dhawaad dhammaantood laga soo bilaabo sannadkii la soo dhaafay, mid walbana wuxuu ku dhow yahay wakiilka AI laftiisa:
- Ogosto 2025, s1ngularity: Weeraryahannadu waxay ka xadeen calaamad daabacan Nx, oo ah mid ka mid ah nidaamyada dhismaha ee ugu isticmaalka badan, waxayna ku riixeen noocyada xaasidnimada leh npm, iyagoo adeegsanaya qalabka AI si ay u raadiyaan sirta ku jirta mashiinnada horumariyayaasha.
- Sebtembar 2025, nuurad/khalad: Mid ka mid ah heshiisyada ugu waaweyn ee npm ee la gaaro, 18 xirmo oo leh in ka badan laba bilyan oo soo dejin toddobaadle ah, ayaa la wareegay afduubka akoonka hal qof oo mas'uul ah.
- Sebtembar 2025, Shai-Hulud: mid ka mid ah gooryaankii ugu horreeyay ee la diiwaan galiyay ee awood u leh inuu iskiis ugu faafo npm. Hirkiisii labaad, bishii Nofeembar, wuxuu ahaa mid aad u gardarro badan oo ku xiran siraha lagu shaaciyay in ka badan 25,000 oo kayd ah.
- Oktoobar 2025, soo dejinta aan la isticmaalin: qayb ka mid ah ololaha PhantomRaven, halkaas oo AI-na uu ku soo kordhiyay malware dhab ah npm iyada oo loo marayo farsamo slopsquatting ah.
- Sannadkan, ClawHub: Diiwaanka xirfadaha AI ee sumoobay halkaas oo shan ka mid ah toddobada xirfadood ee ugu badan la soo dejiyay ay ahaayeen malware.
Warshaduhu waxay si rasmi ah u soo bandhigayaan isla gunaanadkii. 10ka ugu sarreeya ee OWASP ee Codsiyada LLM waxay duritaan degdeg ah ka dhigaysaa lambarka koowaad. 10ka ugu sarreeya ee OWASP MCP (oo hadda ku jira beta) waxay bartilmaameedsanayaan wakiilada hab-maamuuska ee loo isticmaalo inay la hadlaan qalabka. 10ka ugu sarreeya ee Xirfadaha Wakiillada OWASP, oo ah mashruuc cusub oo marxaladda Incubator ah, ayaa u magacaabay xirfadaha xaasidnimada inay yihiin khatarta ugu sarreysa. OWASP badanaa si taxaddar leh ayay u socotaa; furitaanka saddex dhinac markiiba, mid ka mid ah si degdeg ah, wuxuu wax ka sheegayaa sida ay tani u socoto.
Saddexduba waxay ku wada jiraan fikrad isku mid ah: tilmaamaha, qalabka, iyo habaynta ku wareegsan qaab hadda waa qayb ka mid ah dusha sare ee weerarka AI, badanaana waxay ku nool yihiin gudaha kaydkaaga. Taas oo keenaysa su'aasha ugu horreysa ee mudan in la weydiiyo kooxahaaga: yaa dib u eegaya faylasha xeerarka, xirfadaha, iyo habaynta MCP ee ku nool kaydkaaga?
Vektor 1: xirfadda sumeysan
Xirfaddu waa fayl tilmaamo iyo karti ah oo bara wakiilka AI sida loo qabto shaqo. Ma aha habka kaliya ee lagu qaabeeyo dhaqanka wakiilka (xeerarka faylasha, hooks, iyo habaynta MCP waxay sameeyaan isla sidaas), laakiin dhammaantood waxay wadaagaan hal hanti: waxay ku safraan gudaha kaydka, iyagoo wata koodka.
Cilmi-baaris sanadkan ayaa dib u eegis ku samaysay 4,000 oo ka mid ah xirfadahan:
- 36% waxay lahaayeen ugu yaraan hal cillad amni.
- 13.4% ayaa aad muhiim u ahaa.
- Ku dhawaad 100 ayaa si toos ah u lahaa culaysyo xunxun.
Isbeddelka asaasiga ah: weeraryahanku mar dambe ma bartilmaameedsado koodkaaga. Waxay bartilmaameedsadaan wakiilka qora koodkaaga, iyagoo beeraya tilmaamo qarsoon (mararka qaarkood isticmaalaya jilayaal aan la arki karin) oo moodeelku akhriyo oo uu ula dhaqmo sidii mid shaqeynaya. Dib-u-eege bini'aadam ah ayaa ansixinaya pull request niyad wanaagsan sababtoo ah, indhahooda, faylku wuxuu u muuqdaa mid nadiif ah. Qaabku wuxuu fasiraa tilmaamaha dib-u-eegaha uusan waligiis arkin.
Tani maaha aragti ahaan. CVE-2025-59536 (CVSS 8.7) waxay ogolaatay in Claude Code laga bilaabo kayd aan la aamini karin, halkaas oo habayn xun ay ku shaqeyn karto amarro ka hor inta uusan isticmaaluhu aqbalin wadahadalka kalsoonida. Nuglaanta labaad, CVE-2026-21852, waxay ogolaatay in furaha API laga saaro iyada oo loo marayo habaynta mashruuca la xakameeyo, iyada oo aan isticmaaluhu waxba ansixin.
H2: Vektor 2: slop squatting
Magacu wuxuu isku daraa "slop" (junk-ka AI mararka qaarkood soo saaro) iyo weerarka caadiga ah ee typosquatting. Typosquatting wuxuu ku xiran yahay qaladka aadanaha: weeraryahanku wuxuu diiwaangeliyaa magaca baakadka oo u dhow mid caan ah wuxuuna sugaa khaladka typo. Waa mid aan kala sooc lahayn.
Slopsquatting ma sugo qalad. Daraasadda lagu xusay kalfadhigan, 19.7% tixraacyada xirmada ee ay soo saareen moodooyinka AI waxay tilmaamayeen baakado aan jirin. Moodooyinku waxay u muuqdaan inay si isdaba joog ah u sheegaan magacyo isku mid ah, sidaa darteed weeraryahan ayaa daawanaya magaca AI-ga ee ikhtiraaca, diiwaangeliya magacyadaas lambar xaasidnimo ah, oo sugaya rakibidda xigta ee AI-ga lagu taliyay si uu ugu soo jiido codsigaaga.
Miisaanku ma yara: in ka badan 450,000 oo xirmooyin cusub oo xaasidnimo ah ayaa la aqoonsaday sannadkii 2025. Laba tusaale ayaa ka dhigaya mid la taaban karo:
- Cilmi-baare ayaa beeray baakad tijaabo ah oo aan waxyeello lahayn oo la yiraahdo huggingface-cli si loo caddeeyo qodobka. Way gashay in ka badan 30,000 oo soo dejin ah saddex bilood gudahood.
- soo dejinta aan la isticmaalin, laga soo bilaabo jadwalka kor ku xusan, waxaa la xaqiijiyay in malware-ku uu ku jiro diiwaanka dadweynaha, iyadoo la adeegsanayo farsamadan saxda ah. Taasi ma ahayn tijaabo.
Su'aashu ma aha in tani ay ku dhici karto kooxdaada. Waa imisa xirmooyin AI-ku-taliyey ayaa maanta gelinaya koodhkaaga iyada oo aan cidina eegin.
Jawaabta: standards ayaa la qabsanaya
Laba ciidan ayaa is barbar socda. Iyadoo weerarradu ay sii kordhayaan, standardJidhku waxay falcelinayaan:
- NIST SP 800-218A Waxay fidisaa qaab-dhismeedka horumarinta software-ka ee amniga leh dhaqammo gaar u ah moodooyinka AI, oo ay ku jiraan caddaynta daacadnimada iyo asalka.
- In May 2026, CISA iyo la-hawlgalayaasha caalamiga ah ee G7 hagitaan la daabacay oo ku saabsan Xeerka Software-ka ee Agabka ee AI, oo qeexaya waxa ku jira kaydkaas: moodooyinka, xogta, qaybaha, bixiyeyaasha, iyo ku-tiirsanaanta.
Jihada waa cad: SBOM waxay ku fidaysaa AI-BOM. Ma xaqiijin kartid ama ma xaqiijin kartid waxaadan kaydin karin. Maantana, ururada badankood ma awoodaan:
- 43% ma hubin karaan ama ma kaydin karaan qalabka AI ee ay horey u isticmaaleen.
- 79% ma laha muuqaal ku saabsan wakiilada AI iyo nidaamyada MCP ee ka shaqeeya deegaankooda.
Deegaannada la nidaamiyay, kaydkani wuxuu ka gudbayaa dhaqanka wanaagsan una gudbayaa filasho qandaraas ama waajib u hoggaansanaan. Laakiin kaydka ayaa kuu sheegaya oo keliya waxaad haysato. Keli ahaan, ma xannibo weerar.
Farqiga: EDR ee AppSec
SAST iyo SCA qalabka waxaa loogu talagalay in lagu falanqeeyo koodhka iyo ku-tiirsanaanta, ee maaha dhaqanka wakiilka ama qaab-dhismeedkiisa. EDR waxay aragtaa hababka iyo isku xirka shabakadda, laakiin badanaa waxay ka maqan tahay macnaha amniga codsiga si loo fasiro ku tiirsanaanta ama qaabaynta wakiilka. Labadaas qaybood ee qalabka waxaa u dhexeeya farqi, meesha saxda ah ee koodhka hadda laga abuurayo, iyo meesha saxda ah ee weerarka AI uu ku nool yahay.
Farqigaasi wuxuu leeyahay saddex meelood oo aan la arki karin:
- Hantida AI. Moodooyinka, wakiilada, iyo adeegayaasha MCP kama soo muuqdaan SASTama SCARaadaarka. Ma tirin kartid waxaad arki weydo.
- Faylasha habaynta. Xirfadaha, xeerarka, iyo MCP waxay qaabeeyaan dhaqanka wakiilka laakiin badanaa waxaa dib loo eegaa sidii inay yihiin qoraal caadi ah oo aan waxyeello lahayn.
- Rakibaadda xirmada. A ku tiirsanaanta xaasidnimada waxay socon kartaa ka hor inta aan la ogaan inay xaasidnimo tahay, ka dibna sir iyo calaamado ka saar adigoon cidna u oggolaan.
Sida Xygeni u xirto
Waxa EDR u qabato dhibcaha dhammaadka, Xygeni Shield wuxuu u shaqeeyaa wareegga nolosha ee horumarinta ee AI-ka caawisa: wuxuu ilaaliyaa meesha koodhka laga sameeyo iyadoo la fahmayo macnaha guud ee amniga codsiyada.
- Muuqashada halkaas oo SAST iyo SCA ha gaarin. Xygeni wuxuu calaamadeeyaa xirfadaha xaasidnimada leh wuxuuna nidaamiyaa faylasha, wuxuu falanqeeyaa habaynta MCP, wuxuuna dhisaa hab hubin oo diyaar u ah AI-BOM, oo loo qaabeeyey OWASP LLM, MCP, iyo Xirfadaha Wakiilka 10-ka Sare.
- Sirdoonka, ma aha saxiixyo oo keliya. MEW (Digniin Hore oo Malware ah) waxay falanqeysaa dhaqanka iyo khatarta xirmada lagu xannibayo ka hor inta uusan jirin CVE, la-talin, ama saxiix dadweyne. Sirdoonka shabakadda ee casriga ah wuxuu jarayaa xiriirka kaabayaasha la yaqaan ee xunxun.
- Hal dhibic oo kontarool ah, laga bilaabo koodhka ilaa dhammaadka. Wakiil keliya, oo la geeyay iyada oo aan dib loo habeyn deegaanka, oo leh madaxbannaanida xogta Yurub iyo caddaynta u hoggaansanaanta.
Banaanbax toos ah, fulinta siyaasaddan ayaa xannibay isku daygii wakiilka AI uu ku rakibayay xirmo xaasidnimo ah saddex waddo oo kala duwan oo rakibid ah (deegaan casri ah, maareeyaha baakadaha, iyo soo dejinta tooska ah) ka hor inta aan la dhammaystirin rakibidda, dhammaantood waxay ku jiraan waqtiga dhabta ah waxaana loo dhoofin karaa SOC. Ku-biirinta mashruucii ugu horreeyay waxay caadi ahaan qaadataa qiyaastii saacad; fidinta caymiska ee urur buuxa waxay badanaa qaadataa hal ilaa laba toddobaad, iyadoo ku xiran qaab-dhismeedka.
FAQ
Waa maxay dusha sare ee weerarka AI ee hal cutub?
Dusha sare ee weerarka AI waa setka moodooyinka, wakiilada, adeegayaasha MCP, xirfadaha, faylasha xeerarka, iyo ku-tiirsanaanta AI ee lagu soo jeediyay taas oo khatartu geli karto codsi, inta badan ka hor inta uusan aadanuhu dib u eegin. Waxay ka baxsan tahay koodka dhaqanka iyo ku-tiirsanaanta si loogu daro faylasha habaynta iyo tilmaamaha qaabeeya sida wakiilka AI u dhaqmo.
Sideen ku ogaan karaa in magaca xirmada ee uu soo jeediyay kaaliyahayga AI uu yahay mid khiyaali ah ama mid sharci ah laakiin aan la aqoon?
Xaqiiji ka hor inta aadan rakibin: hubi diiwaanka oo falanqee waxa ku jira iyo ujeeddada dhabta ah ee xirmada halkii aad ka aamini lahayd magaca oo keliya. Xygeni wuxuu si otomaatig ah u sameeyaa xaqiijintan waqtiga dhabta ah inta lagu jiro soo saarista koodhka, sidaa darteed rakibidda waa la ansixiyaa ama waa la xannibaa ka hor inta aysan shaqeynin, haddii xirmadu tahay mid aad aqoonsan tahay iyo in kale.
Ma si isku mid ah ayuu u saameeyaa dhammaan moodooyinka AI-ga?
Cilmi-baarista ka dambaysay tirada 19.7% waxay daboolaysay noocyo badan waxayna ogaatay in arrinta si ballaaran loo qaybiyay, iyadoo ay jiraan kala duwanaansho yar oo u dhexeeya. Tani waa qaab ku baahsan horumarinta AI-ga ee ka caawisa, mana aha cillad gaar u ah hal kaaliye.
Ma dib u hubin karnaa inaan horey u rakibnay xirmo khiyaali ah ama mid xaasidnimo leh?
Haa. Barnaamijka Xygeni wuxuu macaamiisha siinayaa fursad ay ku helaan xog kayd ah oo la ilaaliyo oo ku saabsan xirmooyinka xaasidnimada leh ee la ogaaday, kuwaas oo laga baari karo kaydka qaybaha aad haysato, sidaa darteed waxaad ku xaqiijin kartaa dhowr gujin gudahood in wax kasta oo hore loo rakibay ay yihiin khatar la yaqaan.
Intee in le'eg ayay hirgelintu qaadataa urur dhexdhexaad ah oo leh kooxo badan?
Hirgelinta mashruuca ugu horreeya waxay caadi ahaan qaadataa qiyaastii saacad. Kordhinta guud ahaan urur buuxa waxay badanaa qaadataa hal ilaa laba toddobaad, iyadoo ku xiran qaab-dhismeedka kooxda iyo siyaabaha loo shaqeeyo.
Khariid dusha sare ee weerarkaaga AI, bilaash
Khariid raadadka AI ee codsigaaga si bilaash ah: samee akoon oo samee Ku samee baaritaanka ugu horreeya daqiiqado gudahoodKu bilow hal codsi, arag waxa AI ku jiro, oo arag qaybta dusha sare ee weerarka AI-gaaga ee khatarta ah.
* Qaar ka mid ah awoodaha kor ku xusan waxaa lagu dhaqangeliyaa Xygeni Shield iyo ASPM/Qaybaha Amniga AI; helitaanku wuu kala duwanaan karaa iyadoo loo eegayo qorshaha. Eeg xygeni.io faahfaahinta badeecada hadda jirta.
