Wiki iliyopita, timu ya Xygeni ilikuwa OWASP Global AppSec EU 2026 huko Vienna, ambapo Wataalamu 800+ wa usalama wa mtandao wamekusanyika katika Kituo cha Austria kwa ajili ya maadhimisho ya miaka 25 ya OWASP. Siku mbili kwenye ukumbi wa maonyesho, mazungumzo mengi na CISOs, viongozi wa AppSec, na wahandisi wa DevSecOps, na ishara moja iliyo wazi: kulinda mnyororo wa usambazaji wa programu kumeingia katika awamu mpya, na mashirika mengi hayako tayari kwa hilo.
Hapa kuna kile tulichokiona, kile tulichoonyesha, na kile ambacho tasnia inatuambia.
Kile OWASP Ilichozindua Vienna
Tangazo kuu katika mkutano wa mwaka huu lilikuwa OWASP AISVS 1.0, iliyotolewa mnamo Juni 24, 2026, wakati wa tukio lenyewe. standard Ina mahitaji 514 yanayoweza kuthibitishwa katika sura 12 zinazohusu kila kitu kuanzia uingizaji wa haraka hadi usalama wa MCP. Tofauti na mifumo ya utawala kama vile NIST AI RMF au ISO/IEC 42001, kila sharti la ASVS limeandikwa ili likaguliwe, lipitishwe au lishindwe. Ni uthibitisho wa kwanza wa usalama unaoendeshwa na jamii na unaoweza kujaribiwa. standard iliyoundwa kwa ajili ya mifumo ya AI, iliyochorwa kulingana na OWASP ASVS, dhahabu standard kwa usalama wa programu za wavuti..
Zaidi ya AISVS, kipindi kilionyesha mahali ambapo umakini wa jamii umebadilika. Mazungumzo kuhusu usalama wa programu za kielektroniki, usalama wa MCP, mbinu salama za ugavi wa programu, ugunduzi wa kivuli cha akili bandia (AI), na majaribio ya programu za LLM katika uzalishaji yalitawala ratiba. OWASP LLM 10 Bora, Programu 10 Bora za Wakala, na 10 Bora za MCP si mifumo inayoibuka tena; ziko moja kwa moja standardambayo mashirika mengi bado hayajaweka ramani ya kuathiriwa nayo. Vienna ilifanya pengo hilo lionekane.
Kile Xygeni Ilichoonyesha Kwenye Booth G-08
Tulitumia siku hizo mbili za mikutano kuonyesha kitu ambacho tasnia inazidi kuuliza lakini mara chache hukiona kivitendo: jinsi ya kugundua, kupata alama, na kutekeleza usalama katika AI ambayo timu zako hutumia kutengeneza, si tu msimbo wanaotoa.
Mechi ya kwanza ya Vienna ya Xygeni AI Inventory ilionyesha eneo lote la mashambulizi ya AI la shirika lililopangwa kwa wakati halisi, kila modeli, wakala, seva ya MCP, na zana ya usimbaji wa AI, ikiwa na alama za hatari, grafu za uhusiano, na AI-BOM inayoweza kuhamishwa tayari kwa wasimamizi na enterprise Wanunuzi. Kwa wageni wengi kwenye kibanda hicho, ilikuwa mara ya kwanza kuona eneo lao la mashambulizi ya AI likionyeshwa kama orodha iliyopangwa na inayoweza kukaguliwa.
Kizuizi cha Utegemezi wa AI kilionyesha kuwa Shield ilizuia kifurushi hasidi cha npm kwenye sehemu ya mwisho ya msanidi programu kabla ya kusakinisha, kabla ya saini kuwepo. Huu ni udhibiti salama wa mnyororo wa usambazaji wa programu ambao wa jadi SCA zana haziwezi kutoa, ugunduzi unaofanya kazi wakati wa kuchota, si baada ya kifurushi tayari kuendesha hati yake ya baada ya kusakinisha.
Mazungumzo yaliyofuata maonyesho yalikuwa ya kawaida. Timu nyingi hazikuweza kujibu swali kwenye skrini: AI iko wapi katika yako SDLC?
Mambo Matatu ambayo Ukumbi wa Maonyesho Ulituambia
Katika mazungumzo mengi kwenye kibanda na kwenye korido, mada tatu ziliibuka mara kwa mara.
Usalama wa MCP ndio kikwazo kipya
Kila timu inayoendesha wasaidizi wa usimbaji wa AI au mtiririko wa kazi wa wakala ina seva za MCP ambazo hazijaziorodhesha kikamilifu. Nyingi hazina orodha ya ruhusa, hazina ufuatiliaji wa kitabia, na hazina safu ya utekelezaji katika sehemu ya mwisho ya msanidi programu. Hili si jambo la kipekee, 5.5% ya seva za umma za MCP hubeba dosari za sumu ya zana, na 43% hubeba udhaifu wa kuingiza amri. ASVS 1.0 inajitolea sura nzima kwa mahitaji ya usalama wa MCP, na mazungumzo huko Vienna yalithibitisha kwamba hapa ndipo wimbi lijalo la mashambulizi ya mnyororo wa ugavi litakapotua.
Swali la AI-BOM linazidi kuwa kweli
Viongozi wa usalama wanaanza kupokea maombi kutoka kwa wakaguzi na enterprise wanunuzi kwa ajili ya hesabu inayoweza kusomwa kwa mashine ya kila mali ya AI katika shirika (mifumo, seti za data, mawakala, seva za MCP, na zana za uandishi wa AI) pamoja na uhusiano wao, alama za hatari, na ramani ya udhibiti. Mashirika mengi hayawezi kutoa moja leo. AI-BOM inazidi kuwa mrithi wa enzi ya AI kwa haraka SBOM, na mashirika ambayo yanaweza kutoa moja kwa mahitaji yatakuwa na faida kubwa ya kufuata sheria na uaminifu kadri majukumu ya ukaguzi wa Sheria ya AI ya EU yanavyofika.
Mnyororo salama wa usambazaji wa programu sasa unamaanisha kulinda safu ya akili bandia (AI)
Udhibiti wa kawaida wa mnyororo wa ugavi (SCA, SBOM kizazi, asili ya ujenzi, uthibitisho wa SLSA) zilijengwa kwa ajili ya ulimwengu ambapo wanadamu waliandika msimbo na vifurushi vilitoka kwenye sajili za umma. Mnamo 2026, mawakala wa akili bandia (AI) commit msimbo kwa uhuru, seva za MCP hutekeleza wito wa zana kwa niaba ya watumiaji, na vifurushi hasidi vinabuniwa ili kulenga zana za AI moja kwa moja. Mkakati salama wa ugavi wa programu ambao haufuniki uso wa shambulio la AI haujakamilika tena. Vienna ilifanya makubaliano hayo yaonekane katika vibanda vya wauzaji, mazungumzo ya vikao, na mazungumzo ya ukumbini vile vile.
Tunachochukua Kutoka Vienna
OWASP Global AppSec EU 2026 Ilikuwa sehemu muhimu ya urekebishaji. Mazungumzo matatu yanayotokea mara nyingi kwenye maonyesho (usalama wa MCP, utayari wa AI-BOM, na kupata mnyororo kamili wa usambazaji wa programu katika mfumo wa AI asilia SDLC) ni mazungumzo ambayo Xygeni iliundwa kwa ajili yake.
Zero Trust ilifikia mtandao, wingu, na utambulisho miaka iliyopita. Mzunguko wa maisha wa ukuzaji wa programu ndio safu ambayo haijafunikwa kikamilifu. Kwa msimbo unaozalishwa na AI sasa unachangia 40% ya commitkatika mashirika yanayoongoza, na kwa mtiririko wa kazi wa kijeshi unaopanua uso wa mashambulizi haraka kuliko zana za kawaida za AppSec zinavyoweza kuzoea, pengo hilo linakuwa changamoto kuu kwa timu za usalama katika nusu ya pili ya 2026.
Kama ulikosa Vienna na unataka kuona kile tulichoonyesha katika Booth G-08, kuna njia mbili za kuchunguza kwa undani zaidi: chukua ziara ya bidhaa kuona jukwaa likiendelea, au kitabu demo, na tutakuelekeza kile tulichoonyesha kwenye sakafu ya maonyesho.
Maswali Yanayoulizwa Mara Kwa Mara
OWASP AISVS ni nini?
Uthibitishaji wa Usalama wa AI (OWASP AISVS) Standard) ni uthibitisho wa kwanza wa usalama unaoendeshwa na jamii na unaoweza kujaribiwa standard Imeundwa kwa ajili ya mifumo ya AI. Iliyotolewa mnamo Juni 2026 katika OWASP Global AppSec EU Vienna, ina mahitaji 514 yanayoweza kuthibitishwa katika sura 12, ikijumuisha uadilifu wa data ya mafunzo, uingizaji wa haraka, usalama wa MCP, upangaji wa mawakala, mnyororo wa usambazaji, na zaidi. Tofauti na mifumo ya utawala, kila sharti limeandikwa ili kuangaliwa kama limefaulu au limeshindwa.
Mnyororo salama wa usambazaji wa programu mwaka wa 2026 ni nini?
Mnyororo salama wa usambazaji wa programu mwaka wa 2026 unamaanisha kulinda sio tu utegemezi wa chanzo huria, CI/CD pipelines, na kujenga mabaki, lakini pia mifumo ya AI, mawakala, seva za MCP, na zana za usimbaji wa AI ambazo sasa zimepachikwa katika kila hatua ya ukuzaji wa programu. Kama mawakala wa AI commit kificho kwa uhuru na vifurushi hasidi vinazidi kulenga zana za AI, usalama wa mnyororo wa ugavi umepanuka ili kujumuisha mzunguko kamili wa maisha wa uundaji wa mawakala.
