I en kontrollerad studie som presenterades kl. USENIX Säkerhet 2025, bad forskare 16 stora språkmodeller att generera 576 000 kodexempel. Nästan ett av fem av de öppen källkodspaket som dessa modeller rekommenderade existerade inte: 205 474 unika falska paketnamn, uppfunna ur ingenting. Det skulle vara en kuriositet om det vore slumpmässigt. Det är det inte. 43 procent av de hallucinerade namnen dök upp om och om igen vid upprepade uppmaningar. Angripare behöver inte gissa vad en kodningsassistent kommer att uppfinna. De kan titta, vänta och registrera namnet först.
Det är kärnproblemet med AI-säkerhet i leveranskedjan i ett experiment: samma AI som accelererar mjukvaruutveckling har blivit en förutsägbar och exploaterbar ingångspunkt till den. Frågan för säkerhetsteam är inte längre om AI berör mjukvaruleveranskedjan. Det handlar om huruvida man kan se vad den gör på båda sidor av kampen: AI:n som skriver din kod, AI:n som försvarar din pipeline, och den AI som en angripare pekar mot båda.
Vad är AI-leveranskedjans säkerhet?
AI-leveranskedjans säkerhet är praxisen att skydda programvaruleveranskedjan mot risker som introduceras eller förstärks av artificiell intelligens, och att använda AI för att försvara samma leveranskedja. Den befinner sig i skärningspunkten mellan två trender som de flesta säkerhetsprogram fortfarande behandlar separat: AI-genererad kod som kommer in i kodbasen, och AI-drivna attacker som riktar sig mot beroenden, byggandet pipelines och utvecklarverktygen som omger det.
Traditionell applikationssäkerhet frågar om en känd sårbarhet finns i en känd komponent. AI-leveranskedjans säkerhet ställer svårare och snabbare frågor: Existerar detta beroende som en AI-agent just installerat faktiskt, eller var det hallucinerat? Bete sig detta nyligen publicerade paket skadligt, trots att det ännu inte finns någon signatur för det? Vilka AI-modeller, agenter och kopplingar körs under hela programvaruutvecklingslivscykeln, och vad kan de nå?
Att svara på de frågorna med den hastighetskoden som faktiskt skickas är hela disciplinen.
Hur AI blev en attackyta för leveranskedjan
Angripare slutade experimentera med AI för ett tag sedan. De bygger nu in det i operationer som riktar sig direkt mot kod och dess beroenden, inte bara inkorgar och login sidor.
Slopsquatting: att beväpna det AI uppfinner
Tekniken har nu ett namn: slopshuking, myntad i april 2025 av Seth Larson, säkerhetsutvecklare på Python Software Foundation. Mekaniken är enkel och brutal. AI-kodningsassistenter föreslår rutinmässigt paketnamn som inte existerar. Eftersom dessa hallucinationer upprepas kan en angripare registrera det påhittade namnet som ett verkligt, skadligt paket och vänta på att nästa utvecklare (eller nästa autonoma agent) installerar det.
Prejudikatet är redan dokumenterat. År 2023, säkerhetsforskare Bar Lanyado publicerade ett tomt platshållarpaket under ett namn som modeller ofta hallucinerade, kramandeansikte-kliInom tre månader hade den laddats ner mer än 30 000 gånger, och det hallucinerade installationskommandot dök till och med upp i en offentlig README-fil från ett stort teknikföretag. Det var ett godartat test. Samma handbok med en riktig nyttolast är nu en upprepningsbar affärsmodell för angripare.
Autonoma kodningsagenter förvärrar detta genom att ta bort den sista mänskliga kontrollpunkten. En agent som installerar beroenden utan granskning eliminerar det enda tillfället där en utvecklare kan ha märkt att paketet såg fel ut.
Skadliga paket i industriell skala
Slopsquatting är en taktik inom ett mycket större skifte. År 2025, kampanjer med stora mängder skadliga paket blev den grundläggande operativa modellen för attacker i leveranskedjan, eftersom Xygenis Nya trender inom AppSec-attacker för 2026 dokument. Angripare har anammat spamekonomi: publicerar tusentals skadliga paket, accepterar snabba borttagningar och förlitar sig på sannolikhet snarare än ihållighet. Offentliga register innehåller nu hundratusentals nya skadliga paket per år, och även ett kort exponeringsfönster kontaminerar nedströmsversioner.
MCP: ett nytt, till stor del osäkrat anslutningslager
Model Context Protocol (MCP) låter AI-agenter ansluta till verktyg och datakällor. Det skapar också en ny attackyta som de flesta skannrar aldrig inspekterar. En skadlig MCP-server kan sitta osynligt bredvid legitima servers, nåbar av alla agenter med åtkomst. OWASP publicerade en MCP Topp 10-lista år 2025 att katalogisera dessa risker, från snabb injektion och verktygsförgiftning till oautentiserade servrar som vilken agent som helst i nätverket kan nå.
Hemligheter läcker genom AI-genererad kod
Antalet komprometterade inloggningsuppgifter ökade med ungefär 160 % under 2025 jämfört med 2024, enligt Check Point External Risk Management (tidigare Cyberint), delvis driven av AI-förstärkt nätfiske och skadlig kod för informationsstöld. I programvarumiljöer mappas det direkt till hårdkodade nycklar och tokens i AI-genererad kod. En kodningsassistent som har intagit en .env filen i sitt sammanhang kan reproducera en hemlighet i ett förslag, och angripare söker efter exakt det mönstret.
Den mänskliga dimensionen har inte heller försvunnit. IBMs rapport om kostnaden för ett dataintrång 2025 fann att bland dataintrång som involverade AI använde 37 % AI-genererad phishing och 35 % använde djupförfalskning, tekniker som i allt högre grad riktas mot utvecklare genom falska kontakter med rekryterare och utgivna underhållskonton.
Hur AI skyddar leveranskedjan
De funktioner som gör AI farlig är just det som gör den användbar för försvarare. I leveranskedjan är den avvägningen mest konkret på fyra ställen.
Skanningskodsdetektering före signaturen
Detta är den avgörande förmågan. Traditionell skanning väntar på en känd felaktig signatur innan den kan flagga ett paket, vilket strukturellt är för långsamt för attacker som samlar på sig tusentals nedladdningar inom några timmar efter publicering. Beteendebaserad detektering poängsätter istället ett nyligen publicerat paket i samma ögonblick som det visas: dess installationsåtgärder, nätverksanrop, obfuskeringsmönster och metadataavvikelser. Det stänger fönstret som slopsquatting- och typosquatting-kampanjer är beroende av. Shai-Hulud- och GlassWorm-kampanjerna från slutet av 2025, som signaturbaserade detektorer missade helt, är förberedda.cisely är beteendeanalys i fallet byggd för att fånga.
Prioritering efter utnyttjandegrad, inte volym
AI:s mest praktiska bidrag till modern AppSec är inte att hitta fler problem; det minskar bruset från det som redan hittats. Nåbarhetsanalys avgör om en sårbar kodväg faktiskt exekveras. Utnyttjbarhetspoängning väger verkliga attackdata mot ett rått CVSS-tal. Tillsammans låter de team fokusera på den andel fynd som representerar verklig, exploaterbar risk istället för att prioritera tusentals lågsignalsvarningar manuellt.
Avvikelsedetektering vid pipeline nivå
In Darktraces undersökning om tillståndet för AI-cybersäkerhet 2026, säkerhetsledare utsåg hotdetektering och avvikelseidentifiering (72 %) som det område där AI har störst effekt, före automatiserade svar (48 %) och sårbarhetshantering (47 %). Tillämpat på CI/CD, detta innebär att flagga ett installationsskript som beter sig olikt allt som vi sett tidigare i det pipeline, eller en beroendeuppdatering som introducerar ett oväntat nätverksanrop.
Automatiserad, granskningsbar åtgärd
Utöver att hitta och rangordna risker genererar AI nu lösningen: en säker, ramverksspecifik kodändring som skickas in som en pull request snarare än en biljett som ruttnar i en eftersläpning. IBM fann att organisationer som använder AI och automatisering i stor utsträckning i sina säkerhetsåtgärder minskade sin totala livscykel för dataintrång till 204 dagar, jämfört med 284 för de som inte gjorde det (cirka 80 dagar snabbare), samtidigt som de sparade i genomsnitt 1.9 miljoner dollar per dataintrång. Att upptäcka en risk utan att stänga den flyttar bara eftersläpningen; att kombinera AI-triage med AI-genererade korrigeringar sluter cirkeln.
Styrningsgapet som de flesta team inte har täckt
Här är den obekväma delen. Darktraces undersökning från 2026 visade att 77 % av organisationerna nu använder generativ AI i sin säkerhetsstack, men endast 37 % har en formell policy för att använda AI på ett säkert sätt. Den siffran sjönk faktiskt från 45 % året innan. Implementeringen överträffar styrningen, och angripare utnyttjar bristen.
För mjukvaruteam visar det sig konkret: AI-kodningsassistenter, agenter och MCP-anslutningar körs redan över hela SDLC, ofta utan centraliserad insyn i vad de har åtkomst till eller vad de har introducerat. De flesta organisationer kan namnge sina molnleverantörer. Väldigt få kan namnge varje AI-modell, agent och MCP-server som är nåbar från en utvecklares maskin. Den inventeringen, en AI Bill of Materials (AI-BOM), är grunden som resten av AI-leveranskedjans säkerhet bygger på. Du kan inte säkra det du inte har inventerat.
Vad AppSec-team bör göra nu
Ocuco-landskapet genomsnittligt dataintrång kostade 4.44 miljoner dollar år 2025 (IBM), och leveranskedjan är alltmer en av ingångspunkterna. Det praktiska svaret är inte att "adoptera AI" i abstrakt form. Det är en kort, konkret lista:
- Inventera vilken AI som körs i din SDLC. Modeller, agenter, MCP-servrar och AI-kodningsverktyg är tillgångar. Bygg AI-BOM först.
- Behandla AI-genererad kod som människoskriven kod. Kod som kompileras är inte automatiskt säker, och dess beroenden förtjänar samma granskning som allt annat.
- Upptäck skadlig kod genom beteende, inte signaturer. Signaturbaserad skanning är strukturellt för långsam för paketkampanjer med hög volym och kort livslängd.
- Prioritera efter utnyttjandegrad, inte aviseringsvolym. AI:s defensiva värde ligger i att separera verklig risk från brus, inte att generera mer av det.
- Automatisera åtgärder, inte bara detektering. Upptäckt utan en åtgärd flyttar bara eftersläpningen någon annanstans.
Vart AI-leveranskedjans säkerhet är på väg
Två mönster kommer att definiera de kommande åren. För det första blir attacker förutsägbara i stor skala snarare än slumpmässiga: slopsquatting fungerar förecissärskilt eftersom AI-hallucinationer är konsekventa, vilket innebär att försvaret måste gå från engångssignaturer till mönsterigenkänning som skalas för att matcha. För det andra går försvaret från att ”varna en människa” till att ”identifiera, poängsätta och svara innan en supportförfrågan finns”. De organisationer som vinner mark är de som upptäcker ett skadligt pakets beteende vid publiceringstillfället, inte väntar på att en CVE ska skrivas.
AI är din nyaste risk och ditt bästa försvar, ofta i samma system
AI drar i två riktningar samtidigt. Den ger angripare skalbara, automatiserade verktyg, och den ger försvarare möjligheten att upptäcka och reagera i en skala som manuell granskning aldrig skulle kunna göra. Den dualiteten är just anledningen till att AI-säkerhet i leveranskedjan inte kan läggas till som en eftertanke eller förbjudas helt.
Detta är gapet Xygeni byggdes för att stängas. Tidig varning om skadlig kod (MEW) övervakar kontinuerligt offentliga och privata register och upptäcker skadliga paket i samma ögonblick som de publiceras, innan någon signatur finns, med hjälp av AI-bedömningar som validerats av ett mänskligt forskarteam. Xygeni Shield sätter den intelligensen i arbete vid utvecklarens slutpunkt: den blockerar skadliga paket vid installationstillfället innan deras skript körs och inventerar AI-verktyg, agenter och MCP-servrar på varje maskin. Tillsammans är de specialbyggda för de hot som den här artikeln beskriver: slopsquatting, typosquatting, beroendeförvirring och kompromettering av underhållare, inklusive Shai Hulud och GlassWorm-attackklasser, signaturbaserade verktyg missade. Kombinerat med nåbarhetsbaserad prioritering, en AI-BOM över hela din SDLCoch automatiserad pull-request-åtgärd, AI-genererad kod och AI-drivna attacker få samma granskning, utan att sakta ner utvecklarna.
Börja gratis. Xygenis utvecklarplan kostar 0 euro: 10 arkiv, 200 skanningar per månad, upp till 5 bidragsgivare, inget kreditkort. Sign up with GitHub, GitLab eller Google och kör din första skanning på under 10 minuter; Shield Endpoint-skydd kommer snart till utvecklarplanen.
FAQ
Vad är AI-leveranskedjans säkerhet?
AI-leveranskedjans säkerhet skyddar programvaruleveranskedjan mot risker som AI introducerar eller förstärker, såsom hallucinerade beroenden, AI-genererad kod som innehåller sårbarheter och skadliga MCP-kopplingar, samtidigt som AI används för att försvara den genom beteendebaserad detektering av skadlig kod, prioritering av utnyttjandemöjligheter och automatiserad åtgärd.
Hur används AI för att försvara mjukvaruleveranskedjan?
AI möjliggör försvar som signaturbaserade verktyg inte kan matcha: poängsättning av ett nyligen publicerat pakets beteende i det ögonblick det visas, avgörande av om en sårbar kodväg faktiskt är nåbar, flaggning av avvikelser pipeline aktivitet och generera ramverksspecifika korrigeringar som pull requests snarare än eftersläpningsärenden.
Varför kan inte traditionella skannrar upptäcka AI-drivna attacker i leveranskedjan?
Traditionella verktyg förlitar sig på kända signaturer och publicerade CVE:er, så de flaggar bara ett paket efter att det redan har identifierats som skadligt. Paketkampanjer med hög volym och kort livslängd samlar på sig nedladdningar inom några timmar efter publicering (långt innan en signatur finns), vilket är anledningen till att beteendebaserad identifiering för signatur krävs.
Vad är en AI-BOM och varför är det viktigt?
En AI-materiallista (AI-BOM) är en inventering av varje AI-modell, agent och MCP-anslutning som körs under programvaruutvecklingens livscykel. Det är viktigt eftersom man inte kan säkra det man inte har inventerat, och de flesta organisationer har ingen centraliserad insyn i vilken AI som är tillgänglig från en utvecklares maskin.
