ХИБ; DR
Агентҳои зеҳни сунъӣ ҳоло кор мекунанд npm install бе он ки инсон дар ҳалқа бошад. Дар тӯли понздаҳ сол, амнияти бастаҳои npm чунин мепиндошт, ки таҳиягар таваққуф карда, номи бастаро хонда, қарор қабул кардааст. Ёрдамчиёни рамзгузории агентӣ онро ба як қадами мустақил тақсим мекунанд ва ягона нуқтаи назоратиеро, ки аксари барномаҳои амниятӣ ба он такя мекарданд, нест мекунанд.
Сатҳи ҳамла пеш аз он ки дифоъ ҳаракат кунад, ҳаракат кард. Таҳқиқот дар шонздаҳ LLM нишон дод, ки қариб як аз панҷ бастаи тавсияшуда вуҷуд надорад - зиёда аз 200,000 номҳои беназири галлюцинатсияшуда, ки бисёре аз онҳо дар дархостҳои такрорӣ такрор мешаванд ва аз ин рӯ, коркардшавандаанд. Дар айни замон, осебпазирии муҳими пули MCP (437,000+ зеркашӣ) имкон дод, ки RCE пурра дар лаҳзаи пайваст шудани агент ба сервери беэътимод анҷом дода шавад. Агент дар ҳамон қадам қарор қабул мекунад ва иҷро мекунад; таваққуф вуҷуд надорад.
Новобаста аз он ки кӣ насбкуниро оғоз кардааст, муайян ва татбиқ бояд ҳар дафъа ба таври худкор бошад. MEW Феҳристи сабти номро назорат мекунад — сканкунии пайвастаи npm, PyPI ва Maven, қайд кардани бастаҳои зараровар тавассути таҳлили рафтор пеш аз мавҷуд будани имзои оммавӣ. Shield насбро тамошо мекунад — боздоштани трафики мудири бастаҳо дар сатҳи системаи амалиётӣ ва татбиқи сиёсати ташкилоти шумо пеш аз расидан ба диск, дар миллисонияи якрақама, новобаста аз он ки дархост аз терминал ё агенти мустақил омадааст.
Амнияти бастаи npm як қисми тағйироти калонтар аст: Ҳамон агентҳое, ки насбро иҷро мекунанд, дороиҳои зеҳни сунъӣ мебошанд, ки аксари ташкилотҳо инвентаризатсия накардаанд. Амнияти Xygeni AI ин ҳалқаро мебандад — кашф кунед, баҳо диҳед, ислоҳ кунед. MEW ба сатҳи ройгони таҳиягарон дохил карда шудааст.
Дар тӯли понздаҳ сол, амнияти бастаҳои npm як чизро ба назар мегирифт: як инсон дар байниcision барои илова кардани вобастагӣ ва лаҳзаи ба диск афтодани он. Касе номи бастаро чоп кард; касе тугмаи Enter-ро пахш кард. Ин фарзия оҳиста-оҳиста нопадид мешавад, дар лаҳзаи дақиқ npm ба экосистемаи бастаҳои ҳадафмандтарин дар таърихи занҷираи таъминоти нармафзор табдил ёфт: се ҳодисаи бузурги занҷираи таъминот дар ҳашт моҳ, кирми худпаҳншаванда, ки таҳиягаронро ба механизми интиқол табдил дод ва бастае, ки дар як ҳафта 100 миллион маротиба бо нармафзори зараровари иёлати миллӣ осеб дидааст.
таърихи бойи ҳадафҳои npm, пеш аз он ки зеҳни сунъӣ ҳатто ба тасвир ворид шавад
npm аллакай ҳамлагарони экосистема ба он наздик шуда буданд ва дувоздаҳ моҳи охир нишон медиҳанд, ки чаро. Дар Сентябри соли 2025, Шай-Ҳулуд аввалин кирми худпаҳншаванда гардид, ки тавассути npm паҳн шуд ва худи таҳиягаронро ба механизми интиқол табдил дод. Марти соли 2026, аксиос, бастае, ки дар як ҳафта беш аз 100 миллион маротиба гирифта мешуд, бо нармафзори зараровари иёлати миллӣ, ки дар дохили он пинҳон шуда буд, осеб дидааст. Як моҳ пас, қариб якхела шакли кирм дубора тавассути бастаҳои SAP ба экосистемаи npm зарба зад, ҳамон як дастури бозӣ, ки дар миқёси васеъ такрор мешавад. Се ҳодисаи муҳим дар ҳашт моҳ, ҳама дар як феҳрист. Ин нуқтаи асосӣ аст. Агентҳои зеҳни сунъӣ он чизеро, ки баъдтар рӯй медиҳад, тағйир медиҳанд.
Инчунин он чизест, ки мо дар рӯи замин дар ин бора сӯҳбат хоҳем кард Рӯзи OWASP-и Олмон дар соли 2026, 23-24 сентябр дар Карлсруэ. Дар ин бора дар охир маълумоти бештар гиред!
Вақте ки насб аз ҷониби инсон чоп намешавад, чӣ тағйир меёбад
Ёварони рамзгузории агентӣ дигар на танҳо рамз пешниҳод мекунанд. Онҳо торафт бештар қарор медиҳанд, ки вобастагӣ лозим аст, бастаеро интихоб мекунанд ва насбро дар миёнаи вазифа бидуни хондани номи баста аз ҷониби инсон иҷро мекунанд. Ду чиз дар бораи тарзи иҷрои он бояд ҳар як дастаро, ки ба амалияҳои амниятии бастаҳои npm, ки барои ҷаҳони инсон дар ҳалқа сохта шудаанд, такя мекунанд, нигарон кунад.
- Агентҳо галлюцинатсия мекунанд номҳои бастаҳо ва ҳамлагарон инро медонанд. Тадқиқоти бузурги илмӣ беш аз ду миллион намунаи рамзро дар шонздаҳ LLM ба вуҷуд оварданд ва муайян карданд, ки қариб як аз панҷ бастаи тавсияшуда умуман вуҷуд надоранд, зиёда аз 200,000 номҳои беназири галлюцинатсияшуда. Бадтараш, муҳаққиқон муайян карданд, ки ҳамон номҳои галлюцинатсияшуда дар байни дархостҳои такрорӣ такрор мешаванд, ки маънои онро дорад, ки онҳо коркардшавандаанд: ҳамлагар метавонад номеро, ки модели зеҳни сунъӣ эҳтимолан пешниҳод мекунад, пеш аз каси дигар сабт кунад ва интизор шавад.
- Худи насб табдил ёфтааст вектори ҳамла. Осебпазирии муҳим дар пули MCP, ки беш аз 437,000 маротиба зеркашӣ шудааст, имкон дод, ки муштарӣ ба сервери MCP-и нобовар пайваст шавад, яъне навъи пайвастшавӣ, ки агенти мустақил метавонад мустақилона анҷом диҳад. Нуқтаи назоратии анъанавии амнияти бастаи npm, яъне шахсе, ки таваққуф мекунад, то ба он чизе, ки мехоҳад иҷро кунад, нигоҳ кунад, дар ин ҷараёни корӣ вуҷуд надорад. Агент дар ҳамон қадам қарор қабул мекунад ва иҷро мекунад.
Ду қабати амнияти бастаи npm, ки аз мушоҳидаи инсон вобаста нестанд
Ин ҷоест, ки амнияти бастаҳои npm бояд аз «таҳиягар бодиққат мехонад» ба «платформа ҳар дафъа ба таври худкор қарор қабул мекунад» гузарад. Амнияти AI Xygeni инро бо ду қабати алоҳида фаро мегирад.
- MEW (Огоҳӣ барвақти нармафзори зараровар) худи реестрро назорат мекунад. Он пайваста бастаҳои нав нашршударо дар npm, PyPI ва Maven скан мекунад ва бастаҳои зарароварро тавассути таҳлили рафтор, на муқоисаи имзо, қайд мекунад, ки ин маънои онро дорад, ки он нармафзори зарароварро пеш аз он ки имзои оммавӣ барои он вуҷуд дошта бошад, муайян мекунад. Бастаҳои қайдшуда таҳқиқ, тасдиқ ва ба феҳристи оммавӣ гузориш дода мешаванд, то ба пешгирии паҳншавии минбаъда мусоидат кунанд. Ин ба бастае, ки таҳиягар бо даст илова мекунад ва ба бастае, ки агент мустақилона интихоб мекунад, баробар дахл дорад, зеро MEW парвое надорад, ки кӣ насбкуниро оғоз кардааст, барои он парвое дорад, ки баста чӣ кор мекунад. Он инчунин қисми сатҳи ройгони таҳиягарони Xygeni мебошад.
- Shield сиёсатро дар лаҳзаи анҷоми насб амалӣ мекунад. Он трафики npm, PyPI ва Maven-ро дар сатҳи системаи амалиётӣ ба таври шаффоф, бе ягон танзимоти аз нав танзимкунии мудири бастаҳо, бозмедорад. Ҳар як насб пеш аз он ки баста ба диск расад ва пеш аз иҷрои ягон скрипти насбкунӣ, бо сиёсати ташкилоти шумо тафтиш карда мешавад. Ва азбаски Shield сифатҳои ҳар як деcisАгар шумо ба раванд, PID, файли иҷрошаванда ва сатри фармон, ки онро дархост карда буд, пайваст шавед, фарқ надорад, ки ин дархост аз терминали таҳиягар ё аз агенте, ки дар замина мустақилона кор мекунад, омадааст, сиёсат ҳар дафъа як хел татбиқ мешавад.cisИонҳо дар як миллисонияи якрақама аз кэш ҳал мешаванд, аз ин рӯ, он ҳеҷ касро, инсон ё агентро, суст намекунад.
Дар маҷмӯъ, ин ошкоркунӣ дар сатҳи регистр ва иҷрои вақти насбкунӣ мебошад, ки ду лаҳзаеро фаро мегирад, ки хатари бастаи npm воқеан амалӣ мешавад.
Ин сӯҳбати амнияти зеҳни сунъӣ аст, на як ёддошти иловагӣ ба он
Амнияти бастаи npm як қисмати намоёни тағйироти калонтар аст: Ҳоло зеҳни сунъӣ қисми сатҳи ҳамла аст, на танҳо як абзоре, ки таҳиягарон истифода мебаранд. Ҳамон моделҳо, агентҳо ва серверҳои MCP, ки қарор медиҳанд насби npm-ро иҷро кунанд, дороиҳои зеҳни сунъӣ мебошанд, ки ташкилоти шумо идора мекунад ва дар аксари мавридҳо пурра инвентаризатсия намекунад. Xygeni Амнияти AI ин дороиҳоро кашф мекунад, хатари онҳоро дар муқоиса бо 10 беҳтарини OWASP барои барномаҳои LLM арзёбӣ мекунад ва тавассути ДевАИ, рамзи осебпазирро, ки аз ҷониби зеҳни сунъӣ тавлид шудааст ё аз ҷониби инсон навишта шудааст, дар дохили IDE пеш аз фиристодан ислоҳ мекунад. Мо дар бораи он чаҳорчӯбаи кашф-ошкор-ислоҳ ва чаро танҳо кашф кофӣ нест, дар як паёми ҳамроҳ дар бораи он бештар навиштем. Идоракунии ҳолати амнияти зеҳни сунъӣ.
Xygeni дар Рӯзи OWASP-и Олмон 2026
Мо маҳз ҳамин сӯҳбатро ба Карлсруэ мерасонем. Xygeni сарпарасти он аст Рӯзи OWASP-и Олмон дар соли 2026, давидан Сентябр С. 23-24 дар IHK Haus der Wirtschaft, дар баробари тақрибан 200 мутахассиси амнияти барномаҳо аз саросари Олмон ва минтақа.
Мо дар бораи амнияти бастаҳои npm дар ҷаҳони агентӣ сӯҳбат хоҳем кард: MEW ва Shield дар асл сайд кунед, он чизе ки MCP-и ҷорӣ ва маълумоти таҳдиди slopsquatting чунин ба назар мерасадва чӣ гуна аз ҷониби зеҳни сунъӣ тавлид мешавад code security ба барномае, ки аллакай иҷро мешавад, мувофиқат мекунад SAST, SCA, ва асрорро скан кардан ба ҷои он ки аз он ҷудо нишинад.
Дар ҳамон ҳафта, мо низ дар Рӯзҳои OWASP AppSec Португалия 2026 дар Порту, ки дар он мо як сарпарасти тиллоӣ ҳастем ва дар бораи идоракунии вазъияти AI Security Posture васеътар сӯҳбат мекунем. Новобаста аз он ки кадом чорабинӣ ба тақвими шумо мувофиқат мекунад, мо бо хурсандӣ дар ин бора сӯҳбат мекунем!
Огоҳии барвақти нармафзори зараровари Xygeni (MEW) дар сатҳи ройгони таҳиягарон дастрас аст, корти кредитӣ талаб карда намешавад. Он npm, PyPI ва Maven-ро фаро мегирад, бастаҳои зарароварро тавассути таҳлили рафтор пеш аз мавҷуд будани имзои оммавӣ қайд мекунад ва ба ҳар як насб новобаста аз он ки таҳиягар ё агент онро оғоз кардааст, татбиқ мешавад.
Саволҳои зиёд такрормешуда
- Чаро амнияти бастаҳои npm бояд аз сабаби агентҳои зеҳни сунъӣ тағйир ёбад?
Аксари амалияҳои амниятии бастаҳои npm пеш аз насб кардани он, номи бастаро аз ҷониби инсон баррасӣ мекунанд. Ёварони рамзгузории агентӣ метавонанд вобастагиро дар ҳамон қадам интихоб ва насб кунанд, ки дар байни онҳо баррасии инсонӣ вуҷуд надорад, ки нуқтаи назоратие, ки амалия ба он вобаста буд, нест мекунад. Ошкоркунӣ ва татбиқ бояд ба таври худкор, дар реестр ва дар вақти насб, новобаста аз он ки кӣ ё чӣ насбро оғоз кардааст, сурат гирад.
- Фарқи байни MEW ва MEW чист? Shield?
MEW феҳристро назорат мекунад: он бастаҳои нав нашршудаи npm, PyPI ва Maven-ро скан мекунад ва пеш аз мавҷуд будани имзои оммавӣ рафтори зарароварро қайд мекунад. Shield насбро назорат мекунад: он сиёсати ташкилоти шуморо дар сатҳи системаи амалиётӣ дар лаҳзаи дархости насби баста татбиқ мекунад ва онро пеш аз расидан ба диск дар сурати вайрон кардани қоида масдуд мекунад. Яке ошкоркунӣ ҳангоми нашр; дигаре татбиқкунӣ ҳангоми насбкунӣ мебошад.
- Оё ин иваз мекунад? SCA сканкунӣ?
Не. Триаж, шарҳ ва ислоҳи зеҳни сунъии Xygeni ба бозёфтҳои аз сканерҳои худи Xygeni ва ба бозёфтҳое, ки аз ҷониби тарафи сеюм гирифта шудаанд, татбиқ мешаванд. SCA ва абзорҳои AppSec аллакай мавҷуданд, аз ин рӯ хатари бастаи npm бидуни кандани абзорҳои мавҷуда фаро гирифта мешавад.
- Дар куҷо ман метавонам бо Xygeni дар ин бора сӯҳбат кунам?
Xygeni дар Рӯзи OWASP-и Олмон 2026, 23-24 сентябр дар Карлсруэ, ҳузур дорад ва дар бораи амнияти бастаҳои npm ва амнияти зеҳни сунъӣ сӯҳбат мекунад. Мо инчунин сарпарасти тиллоӣ дар OWASP AppSec Days Portugal 2026, ҳамон ҳафта, дар Порту ҳастем.
