Gjatë viteve të fundit, siguria e aplikacioneve kishte një kufi të qartë: depoja dhe pipelineAtje ndodheshin kontrollet, aty kryheshin skanimet, aty ekipet vendosnin nëse diçka do të dërgohej në prodhim. E gjitha bazohej në një supozim: një zhvillues zgjidhte në mënyrë të qartë se cili kod dhe cilat varësi hynin në sistem.
Ky supozim nuk qëndron më. Një pjesë gjithnjë e në rritje e kodit sot shkruhet, sugjerohet ose instalohet nga një agjent i inteligjencës artificiale, shpesh pa e parë askush emrin e asaj që po tërhiqet. Kur decisSado që të jetë e mundur që kodi të hyjë në të, aq më mirë lëviz edhe sulmi. Ai zhvendoset në pjesën e përparme të procesit: në momentin që krijohet kodi, brenda vetë asistentit dhe në skedarët që e konfigurojnë atë.
Kjo është sipërfaqja juaj e sulmit të IA-së: çdo model, agjent, server MCP, aftësi dhe varësi e sugjeruar nga IA-ja që tani mund të sjellë rrezik përpara se një njeri ta shqyrtojë atë. E njëjta IA që zhvilluesit tuaj i besojnë tani është pjesë e saj. Ky nuk është një rrezik i ardhshëm. Është një ndryshim që ka ndodhur tashmë, dhe ja se si duket në praktikë.
Një valë sulmesh, jo një incident i izoluar
Asnjë nga sa vijon nuk është ushtrim laboratoricisose një hipotetik. Këto janë incidente publike, të dokumentuara, pothuajse të gjitha nga viti i kaluar, dhe secili prej tyre i afrohet pak më shumë vetë agjentit të IA-së:
- Gusht 2025, ngjashmëria: Sulmuesit vodhën një token publikimi nga Nx, një nga sistemet e ndërtimit më të përdorura gjerësisht, dhe transferuan versione keqdashëse në npm, duke përdorur mjete të inteligjencës artificiale për të kërkuar sekrete në makinat e zhvilluesve.
- Shtator 2025, shkumës/debug: Një nga kompromentimet më të mëdha të npm-së për nga shtrirja, 18 paketa me më shumë se dy miliardë shkarkime javore, të marra nën kontroll nëpërmjet rrëmbimit të llogarisë së një mirëmbajtësi të vetëm.
- Shtator 2025, Shai-Hulud: një nga krimbat e parë të dokumentuar të aftë të vetëpërhapet nëpërmjet npm. Vala e dytë e tij, në nëntor, ishte më agresive dhe e lidhur me sekretet e ekspozuara në më shumë se 25,000 depo.
- Tetor 2025, importet e papërdorura: pjesë e fushatës PhantomRaven, ku halucinacionet e inteligjencës artificiale futën programe të dëmshme të vërteta në npm përmes një teknike slopsquatting.
- Këtë vit, ClawHub: një regjistër aftësish të helmuara nga inteligjenca artificiale ku pesë nga shtatë aftësitë më të shkarkuara ishin programe keqdashëse.
Industria po formalizon të njëjtin përfundim. OWASP Top 10 për Aplikacionet LLM e vendos injektimin e shpejtë në vendin e parë. OWASP MCP Top 10 (aktualisht në beta) synon protokollin që agjentët përdorin për të komunikuar me mjetet. OWASP Agentic Skills Top 10, një projekt i ri në fazën e inkubatorit, i emëron aftësitë keqdashëse si rrezikun e tij kryesor. OWASP zakonisht lëviz me kujdes; hapja e tre fronteve në të njëjtën kohë, njëri prej tyre urgjentisht, tregon diçka rreth shpejtësisë së lëvizjes së kësaj çështjeje.
Të treja bashkohen në të njëjtën ide: udhëzimet, mjetet dhe konfigurimet rreth një modeli tani janë pjesë e sipërfaqes së sulmit të IA-së dhe zakonisht ndodhen brenda depove tuaja. Gjë që ngre pyetjen e parë që ia vlen t'u bëni ekipeve tuaja: kush i shqyrton skedarët e rregullave, aftësitë dhe konfigurimet MCP që ndodhen në depotë tuaja?
Vektori 1: aftësia e helmuar
Një aftësi është një skedar udhëzimesh dhe aftësish që i mëson një agjenti të inteligjencës artificiale se si të kryejë një detyrë. Nuk është e vetmja mënyrë për të formësuar sjelljen e një agjenti (skedarë rregullash, hooks, dhe konfigurimet MCP bëjnë të njëjtën gjë), por të gjitha ndajnë një veti: ato udhëtojnë brenda depos, me kodin.
Hulumtimi i këtij viti shqyrtoi 4,000 nga këto aftësi:
- 36% kishin të paktën një të metë sigurie.
- 13.4% ishin në gjendje kritike.
- Afër 100 prej tyre kishin ngarkesa të dëmshme menjëherë.
Ndryshimi thelbësor: sulmuesi nuk e shënjestron më kodin tuaj. Ata shënjestrojnë agjentin që shkruan kodin tuaj, duke mbjellë udhëzime të fshehura (ndonjëherë duke përdorur karaktere të padukshme) që modeli i lexon dhe i trajton si operative. Një recensues njerëzor e miraton pull request me mirëbesim sepse, për sytë e tyre, dosja duket e pastër. Modeli interpreton udhëzime që recensuesi nuk i ka parë kurrë.
Kjo nuk është teorike. CVE-2025-59536 (CVSS 8.7) lejoi nisjen e Claude Code nga një depo e pabesueshme, ku një konfigurim keqdashës mund të ekzekutonte komanda përpara se përdoruesi të pranonte dialogun e besimit. Një dobësi e dytë, CVE-2026-21852, lejoi nxjerrjen e një çelësi API përmes konfigurimit të kontrolluar nga projekti, pa miratuar asgjë nga përdoruesi.
H2: Vektori 2: ulje e pjerrët
Emri përzien "slop" (gabimet e panevojshme që ndonjëherë gjeneron një inteligjencë artificiale) me sulmin klasik të squatting-ut. Squatting-u varet nga gabimi njerëzor: një sulmues regjistron një emër pakete të ngjashëm me një emër të zakonshëm dhe pret për një gabim shtypi. Është i rastësishëm.
Mbledhje këmbësh nuk pret për një gabim. Në studimin e përmendur gjatë kësaj seance, 19.7% e referencave të paketave të gjeneruara nga modelet e inteligjencës artificiale tregonin për paketa që nuk ekzistojnë. Modelet kanë tendencë të halucinojnë të njëjtat emra në mënyrë të përsëritur, kështu që një sulmues shikon se cilët emra shpik IA, i regjistron ato emra me kod dashakeq dhe pret instalimin tjetër të sugjeruar nga IA për ta tërhequr atë në aplikacionin tuaj.
Shkalla nuk është e vogël: Më shumë se 450,000 paketa të reja dashakeqe u identifikuan në vitin 2025. Dy shembuj e bëjnë konkrete:
- Një studiues mbolli një paketë testimi të padëmshme të quajtur përqafim në fytyrë për të vërtetuar pikën. U regjistrua më shumë se 30,000 shkarkime në tre muaj.
- importe të papërdorura, nga kronologjia e mësipërme, ishte një program keqdashës i konfirmuar, i vendosur në një regjistër publik, duke përdorur pikërisht këtë teknikë. Ai nuk ishte një provë.
Pyetja nuk është nëse kjo mund t'i ndodhë ekipit tuaj. Por sa paketa të sugjeruara nga inteligjenca artificiale po hyjnë në kodin tuaj sot pa i parë askush.
Përgjigja: standardpo e kapin ritmin
Dy forca veprojnë paralelisht. Ndërsa sulmet përshpejtohen, standardTrupat po reagojnë:
- NIST SP 800-218A zgjeron kornizën e zhvillimit të sigurt të softuerëve me praktika specifike për modelet e IA-së, duke përfshirë prova të integritetit dhe prejardhjes.
- In Maj 2026, CISA dhe partnerët e saj ndërkombëtarë të G7 publikoi udhëzime mbi një Listë Materialesh Softuerësh për IA-në, duke përcaktuar se çfarë i përket atij inventari: modelet, grupet e të dhënave, komponentët, ofruesit dhe varësitë.
Drejtimi është i qartë: SBOM po zgjerohet në një AI-BOM. Nuk mund të certifikosh ose dëshmosh atë që nuk mund ta inventarizosh. Dhe sot, shumica e organizatave nuk mund të:
- 43% nuk mund të auditojnë ose inventarizojnë mjetet e IA-së që po përdorin tashmë.
- 79% nuk kanë dukshmëri në agjentët e IA-së dhe sistemet MCP që funksionojnë në mjedisin e tyre.
Në mjedise të rregulluara, ky inventar po kalon nga praktika e mirë në pritje kontraktuale ose detyrim përputhshmërie. Por një inventar tregon vetëm se çfarë keni. Më vete, ai nuk bllokon një sulm.
Boshllëku: një EDR për AppSec
SAST SCA Mjetet janë të dizajnuara për të analizuar kodin dhe varësitë, jo sjelljen e një agjenti ose konfigurimin e tij. EDR sheh proceset dhe lidhjet e rrjetit, por zakonisht i mungon konteksti i sigurisë së aplikacionit për të interpretuar një varësi ose një konfigurim agjenti. Midis këtyre dy kategorive të mjeteve ekziston një boshllëk, saktësisht se ku po krijohet kodi tani dhe saktësisht se ku ndodhet sipërfaqja e sulmit të IA-së.
Kjo boshllëk ka tre pika të verbëra:
- Asetet e inteligjencës artificiale. Modelet, agjentët dhe serverët MCP nuk shfaqen në llogarinë tuaj. SASTose SCARadari i tij. Nuk mund të inventarizosh atë që nuk mund ta shohësh.
- Skedarët e konfigurimit. Aftësitë, rregullat dhe konfigurimet MCP formësojnë sjelljen e agjentit, por zakonisht rishikohen sikur të ishin tekst i thjeshtë i padëmshëm.
- Instalimet e paketave. A Varësia keqdashëse mund të funksionojë përpara se të njihet si keqdashëse, pastaj nxjerrin sekrete dhe simbole pa e miratuar askush.
Si e mbyll Xygeni atë
Çfarë bën një EDR për pikat fundore, Xygeni Mburoja bën për ciklin jetësor të zhvillimit të asistuar nga inteligjenca artificiale: mbron vendin ku krijohet kodi, ndërkohë që kupton kontekstin e sigurisë së aplikacionit.
- Dukshmëria ku SAST SCA mos arrini. Xygeni identifikon skedarët e aftësive dhe rregullave keqdashëse, analizon konfigurimet e MCP dhe ndërton një sistem të gatshëm për auditim. AI-BOM, i lidhur me 10 më të mirët e OWASP LLM, MCP dhe Affilities Agentic.
- Inteligjencë, jo vetëm nënshkrime. MEW (Paralajmërimi i Hershëm për Malware) analizon sjelljen dhe rrezikun e një pakete për ta bllokuar atë përpara se të ekzistojë një CVE, një këshillë ose një nënshkrim publik. Inteligjenca e përditësuar e rrjetit ndërpret lidhjet me infrastrukturën e njohur si keqdashëse.
- Një pikë kontrolli, nga kodi në pikën fundore. Një agjent i vetëm, i vendosur pa riarkitekturuar mjedisin, me të integruara prova të sovranitetit të të dhënave evropiane dhe pajtueshmërisë.
Në një demonstrim të drejtpërdrejtë, ky zbatim i politikës bllokoi përpjekjen e një agjenti të inteligjencës artificiale për të instaluar një paketë dashakeqe në tre shtigje të ndryshme instalimi (mjedis virtual, menaxher paketash dhe shkarkim direkt) para se të përfundonte instalimi, të gjitha të regjistruara në kohë reale dhe të eksportueshme në një SOC. Integrimi i një projekti të parë zakonisht zgjat rreth një orë; zgjerimi i mbulimit në të gjithë organizatën zakonisht zgjat një deri në dy javë, varësisht nga struktura.
FAQ
Cila është sipërfaqja e sulmit të IA-së në një paragraf?
Sipërfaqja e sulmit të IA-së është bashkësia e modeleve, agjentëve, serverëve MCP, aftësive, skedarëve të rregullave dhe varësive të sugjeruara nga IA-ja, përmes të cilave rreziku mund të hyjë në një aplikacion, shpesh përpara se një njeri ta shqyrtojë atë. Ajo shtrihet përtej kodit dhe varësive tradicionale për të përfshirë skedarët e konfigurimit dhe udhëzimet që formësojnë mënyrën se si sillet një agjent i IA-së.
Si mund ta dalloj nëse një emër pakete i sugjeruar nga asistenti im i inteligjencës artificiale është një halucinacion apo thjesht i ligjshëm, por i panjohur?
Validoni para instalimit: kontrolloni regjistrin dhe analizoni përmbajtjen dhe qëllimin aktual të paketës, në vend që t'i besoni vetëm emrit. Xygeni e automatizon këtë validim në kohë reale gjatë gjenerimit të kodit, kështu që një instalim miratohet ose bllokohet para se të ekzekutohet, pavarësisht nëse paketa është një që ju e njihni apo jo.
A ndikon slopsquatting në të gjitha modelet e IA-së në mënyrë të barabartë?
Hulumtimi që qëndron pas shifrës 19.7% mbuloi modele të shumta dhe zbuloi se problemi ishte i shpërndarë gjerësisht, me vetëm ndryshime të vogla midis tyre. Ky është një model në të gjithë zhvillimin e asistuar nga inteligjenca artificiale, jo një e metë specifike për një asistent.
A mund të kontrollojmë në mënyrë retroaktive nëse kemi instaluar tashmë një paketë halucinuese ose dashakeqe?
Po. Platforma e Xygeni u jep klientëve qasje në një bazë të dhënash të mirëmbajtur të paketave dashakeqe të zbuluara, të kërkueshme në inventarin tuaj ekzistues të komponentëve, kështu që ju mund të konfirmoni me disa klikime nëse diçka e instaluar tashmë është një kërcënim i njohur.
Sa kohë zgjat zbatimi për një organizatë të mesme me ekipe të shumta?
Përfshirja në një projekt të parë zakonisht zgjat rreth një orë. Zgjerimi në një organizatë të plotë zakonisht zgjat një deri në dy javë, varësisht nga struktura e ekipit dhe mënyrat e punës.
Harto sipërfaqen tënde të sulmit me inteligjencë artificiale, falas
Hartoni gjurmën e inteligjencës artificiale të aplikacionit tuaj falas: krijoni një llogari dhe kryeni një skanim të parë brenda disa minutashFilloni me një aplikacion të vetëm, shikoni se çfarë IA ka brenda tij dhe shikoni se cila pjesë e sipërfaqes suaj të sulmit me IA është e rrezikshme.
*Disa aftësi të përmendura më sipër zbatohen përmes Xygeni Shield dhe ASPMModulet e Sigurisë /AI; disponueshmëria mund të ndryshojë në varësi të planit. Shih xygeni.io për detajet aktuale të produktit.
