Sa nakalipas na ilang taon, ang seguridad ng aplikasyon ay may malinaw na hangganan: ang repositoryo at ang pipelineDoon nakapuwesto ang mga kontrol, doon tumatakbo ang mga pag-scan, kung saan nagpapasya ang mga pangkat kung ipapadala ang isang bagay sa produksyon. Ang lahat ng ito ay nakasalalay sa isang palagay: tahasang pinipili ng isang developer kung aling code at aling mga dependency ang papasok sa sistema.
Hindi na totoo ang palagay na iyan. Lumalaking bahagi ng code ngayon ang isinusulat, iminumungkahi, o ini-install ng isang AI agent, kadalasan nang hindi tinitingnan ng sinuman ang pangalan ng kung ano ang hinihila. Kapag angcisKung gaano kalaki ang galaw ng kung ano ang pumapasok sa code, gayundin ang galaw ng atake. Ito ay gumagalaw sa pinakadulo ng proseso: sa sandaling malikha ang code, sa loob mismo ng assistant at sa mga file na nagko-configure nito.
Ito ang iyong AI attack surface: bawat modelo, ahente, MCP server, kasanayan, at AI-suggested dependency na maaari nang magdulot ng panganib bago pa man ito masuri ng isang tao. Ang parehong AI na pinagkakatiwalaan ng iyong mga developer ay bahagi na ngayon nito. Hindi ito isang panganib sa hinaharap. Ito ay isang pagbabagong nangyari na, at narito ang hitsura nito sa pagsasagawa.
Isang alon ng mga pag-atake, hindi isang nakahiwalay na insidente
Wala sa mga sumusunod ang maituturing na laboratoryocise o isang hipotetikal. Ito ay mga pampubliko at dokumentadong insidente, halos lahat mula sa nakaraang taon, at ang bawat isa ay medyo mas malapit sa mismong ahente ng AI:
- Agosto 2025, s1ngularidad: Ninakaw ng mga umaatake ang isang publishing token mula sa Nx, isa sa mga pinakalawak na ginagamit na build system, at naglipat ng mga malisyosong bersyon sa npm, gamit ang mga AI tool upang maghanap ng mga sikreto sa mga makina ng mga developer.
- Setyembre 2025, tisa/pag-debug: Isa sa pinakamalaking kompromiso ng npm ayon sa reach, 18 pakete na may mahigit dalawang bilyong lingguhang download, na kinuha sa pamamagitan ng pag-hijack ng account ng isang maintainer.
- Setyembre 2025, Shai-Hulud: isa sa mga unang dokumentadong bulate na kayang magparami ng sarili sa pamamagitan ng npm. Ang pangalawang alon nito, noong Nobyembre, ay mas agresibo at nauugnay sa mga sikretong nabunyag sa mahigit 25,000 repositoryo.
- Oktubre 2025, mga hindi nagamit na-import: bahagi ng kampanyang PhantomRaven, kung saan ipinakilala ng AI hallucination ang totoong malware sa npm sa pamamagitan ng isang slopsquatting technique.
- Ngayong taon, ang ClawHub: isang nalason na AI skill registry kung saan lima sa pitong pinakamadalas i-download na skill ay malware.
Pormal na ginagawa ng industriya ang parehong konklusyon. Inilalagay ng OWASP Top 10 para sa mga Aplikasyon ng LLM ang agarang pag-iniksyon sa numero uno. Tinatarget ng OWASP MCP Top 10 (kasalukuyang nasa beta) ang mga protocol agent na ginagamit upang makipag-usap sa mga tool. Tinutukoy ng OWASP Agentic Skills Top 10, isang bagong proyekto sa yugto ng Incubator, ang mga malisyosong kasanayan bilang pangunahing panganib nito. Karaniwang maingat na kumikilos ang OWASP; ang pagbubukas ng tatlong larangan nang sabay-sabay, isa sa mga ito ay agaran, ay nagsasabi ng isang bagay tungkol sa kung gaano kabilis ito kumikilos.
Ang tatlo ay nagkakaisa sa iisang ideya: ang mga tagubilin, kagamitan, at mga configuration sa paligid ng isang modelo ay bahagi na ngayon ng ibabaw ng AI attack, at kadalasan ay nasa loob ng iyong sariling repositoryo. Na siyang unang tanong na dapat itanong sa iyong mga team: sino ang sumusuri sa mga rules file, skills, at MCP config na nasa iyong repo?
Vector 1: ang kasanayang may lason
Ang kasanayan ay isang koleksyon ng mga tagubilin at kakayahan na nagtuturo sa isang ahente ng AI kung paano gawin ang isang gawain. Hindi lamang ito ang paraan upang hubugin ang pag-uugali ng isang ahente (mga file ng panuntunan, hooks, at ang mga MCP config ay ginagawa rin ang pareho), ngunit lahat sila ay nagbabahagi ng iisang katangian: naglalakbay sila sa loob ng repository, kasama ang code.
Sinuri ng pananaliksik ngayong taon ang 4,000 sa mga kasanayang ito:
- 36% ang nagkaroon ng kahit isang depekto sa seguridad.
- 13.4% ang kritikal.
- Malapit sa 100 ang may direktang dalang malisyosong kargamento.
Ang pangunahing pagbabago: hindi na tinatarget ng attacker ang iyong code. Tinatarget nila ang agent na sumusulat ng iyong code, nagtatanim ng mga nakatagong instruksyon (minsan ay gumagamit ng mga hindi nakikitang karakter) na binabasa at itinuturing ng modelo bilang gumagana. Inaprubahan ng isang taong tagasuri ang pull request nang may mabuting hangarin dahil, sa kanilang paningin, ang file ay mukhang malinis. Binibigyang-kahulugan ng modelo ang mga tagubiling hindi kailanman nakita ng tagasuri.
Hindi ito teoretikal. Pinayagan ng CVE-2025-59536 (CVSS 8.7) ang paglulunsad ng Claude Code mula sa isang hindi mapagkakatiwalaang repository, kung saan maaaring magpatakbo ng mga command ang isang malisyosong configuration bago pa man tanggapin ng user ang trust dialog. Ang pangalawang kahinaan, ang CVE-2026-21852, ay nagpahintulot sa pag-exfiltration ng isang API key sa pamamagitan ng project-controlled configuration, nang walang anumang pag-apruba ang user.
H2: Vector 2: pagtapak-tapak nang walang ingat
Pinagsasama ng pangalan ang "slop" (ang junk na minsan ay nalilikha ng AI) sa klasikong typosquatting attack. Ang typosquatting ay nakadepende sa human error: nirerehistro ng isang attacker ang pangalan ng package na malapit sa sikat at naghihintay ng typo. Ito ay random.
Pag-slopsquat hindi naghihintay ng pagkakamali. Sa pag-aaral na tinukoy sa sesyon na ito, 19.7% ng mga sanggunian sa pakete na nabuo ng mga modelo ng AI ay tumutukoy sa mga paketeng hindi naman talaga umiiral. Paulit-ulit na naiisip ng mga modelo ang parehong pangalan, kaya binabantayan ng attacker kung aling pangalan ang naimbento ng AI, inirerehistro ang mga pangalang iyon gamit ang malisyosong code, at hinihintay ang susunod na pag-install na iminungkahi ng AI para makuha ito sa iyong application.
Hindi maliit ang sukat: Mahigit sa 450,000 bagong malisyosong pakete ang natukoy noong 2025. Dalawang halimbawa ang nagpapatibay nito:
- Isang mananaliksik ang nagtanim ng isang hindi nakakapinsalang pakete ng pagsubok na tinatawag na huggingface-cli upang patunayan ang punto. Nag-log ito mahigit 30,000 na download sa loob ng tatlong buwan.
- mga hindi nagamit na import, mula sa timeline sa itaas, ay nakumpirmang malware, nakatira sa isang pampublikong registry, gamit mismo ang pamamaraang ito. Hindi iyon isang pagsubok.
Ang tanong ay hindi kung maaari ba itong mangyari sa iyong koponan. Ito ay kung gaano karaming mga pakete na iminungkahi ng AI ang pumapasok sa iyong code ngayon nang walang nakakakita sa mga ito.
Ang tugon: standardnakakahabol na ang mga
Dalawang puwersa ang tumatakbo nang magkasabay. Habang bumibilis ang mga pag-atake, standardAng mga katawan ay tumutugon:
- NIST SP 800-218A Pinalalawak ang balangkas ng ligtas na pagbuo ng software gamit ang mga kasanayang partikular sa mga modelo ng AI, kabilang ang ebidensya ng integridad at pinagmulan.
- In Mayo 2026, CISA at ang mga internasyonal na kasosyo nito sa G7 naglathalang gabay sa isang Software Bill of Materials para sa AI, na tumutukoy sa kung ano ang kabilang sa imbentaryong iyon: mga modelo, dataset, component, provider, at dependency.
Malinaw ang direksyon: ang SBOM ay lumalawak tungo sa isang AI-BOM. Hindi mo maaaring sertipikahan o patunayan ang hindi mo maaaring imbentaryo. At ngayon, karamihan sa mga organisasyon ay hindi maaaring:
- 43% hindi nila ma-audit o maimbentaryo ang mga AI tool na ginagamit na nila.
- 79% walang kakayahang makita ang mga AI agent at MCP system na tumatakbo sa sarili nilang kapaligiran.
Sa mga regulated na kapaligiran, ang imbentaryong ito ay lumilipat mula sa mabuting kasanayan patungo sa inaasahan sa kontrata o obligasyon sa pagsunod. Ngunit ang isang imbentaryo ay nagsasabi lamang sa iyo kung ano ang mayroon ka. Sa sarili nitong paraan, hindi nito hinaharangan ang isang pag-atake.
Ang puwang: isang EDR para sa AppSec
SAST at SCA Ang mga tool ay idinisenyo upang suriin ang code at mga dependency, hindi ang pag-uugali ng isang ahente o ang configuration nito. Si EDR Nakakakita ng mga proseso at koneksyon sa network, ngunit kadalasan ay kulang ito sa konteksto ng seguridad ng aplikasyon upang bigyang-kahulugan ang isang dependency o isang configuration ng ahente. Sa pagitan ng dalawang kategoryang iyon ng mga tool ay may puwang, kung saan mismo ginagawa ang code ngayon, at kung saan mismo nabubuhay ang ibabaw ng pag-atake ng AI.
Ang puwang na iyon ay may tatlong blind spot:
- Mga asset ng AI. Hindi lumalabas ang mga modelo, ahente, at MCP server sa iyong SASTo o SCAradar ni. Hindi mo maaaring imbentaryo ang hindi mo nakikita.
- Mga file ng pag-configure. Ang mga kasanayan, panuntunan, at mga config ng MCP ay naghuhubog sa pag-uugali ng ahente ngunit karaniwang sinusuri na parang hindi nakakapinsalang plain text ang mga ito.
- Mga pag-install ng pakete. A maaaring tumakbo ang malisyosong dependency bago pa man ito malaman na malisyosa, pagkatapos ay maglalabas ng mga sikreto at token nang walang sinumang nag-aapruba nito.
Paano ito isinasara ng Xygeni
Ang ginagawa ng isang EDR para sa mga endpoint, Xygeni Gumagana ang Shield para sa AI-assisted development lifecycle: pinoprotektahan nito kung saan nililikha ang code habang iniintindi ang konteksto ng seguridad ng application.
- Pagiging nakikita kung saan SAST at SCA huwag umabot. Nagba-flag ang Xygeni ng mga malisyosong kasanayan at nag-rule ng mga file, sinusuri ang mga MCP config, at bumubuo ng isang audit-ready na AI-BOM, na nakahanay sa OWASP LLM, MCP, at Agentic Skills Top 10s.
- Katalinuhan, hindi lamang mga lagda. Sinusuri ng MEW (Malware Early Warning) ang kilos at panganib ng isang pakete upang harangan ito bago pa man magkaroon ng CVE, isang advisory, o isang pampublikong lagda. Pinuputol ng napapanahong network intelligence ang mga koneksyon sa kilalang-malisyosong imprastraktura.
- Isang control point, mula code hanggang endpoint. Isang ahente lang, na ipinapatupad nang hindi binabago ang disenyo ng kapaligiran, na may kasamang soberanya ng datos sa Europa at ebidensya ng pagsunod.
Sa isang live na demonstrasyon, hinarangan ng pagpapatupad ng patakarang ito ang pagtatangka ng isang ahente ng AI na mag-install ng isang malisyosong pakete sa tatlong magkakaibang landas ng pag-install (virtual na kapaligiran, package manager, at direktang pag-download) bago makumpleto ang pag-install, lahat ay naka-log in nang real time at maaaring i-export sa isang SOC. Ang pag-onboard ng isang unang proyekto ay karaniwang tumatagal ng halos isang oras; ang pagpapalawak ng saklaw sa isang buong organisasyon ay karaniwang tumatagal ng isa hanggang dalawang linggo, depende sa istruktura.
FAQ
Ano ang AI attack surface sa isang talata?
Ang AI attack surface ay ang hanay ng mga modelo, ahente, MCP server, kasanayan, mga rule file, at mga AI-suggested dependencies kung saan maaaring makapasok ang panganib sa isang application, kadalasan bago pa ito suriin ng isang tao. Lumalampas ito sa tradisyonal na code at mga dependency upang isama ang mga configuration file at mga tagubilin na humuhubog sa kung paano kumikilos ang isang AI agent.
Paano ko malalaman kung ang pangalan ng package na iminungkahi ng aking AI assistant ay isang halusinasyon o sadyang lehitimo ngunit hindi pamilyar?
Patunayan bago i-install: suriin ang registry at suriin ang aktwal na nilalaman at layunin ng package sa halip na magtiwala lamang sa pangalan. Awtomatiko ng Xygeni ang pagpapatunay na ito sa totoong oras habang binubuo ang code, kaya ang isang pag-install ay naaprubahan o naharang bago ito tumakbo, kilala mo man o hindi ang package.
Pantay ba ang epekto ng slopsquatting sa lahat ng AI model?
Ang pananaliksik sa likod ng 19.7% na bilang ay sumasaklaw sa maraming modelo at natuklasan na ang isyu ay malawak na ipinamamahagi, na may maliit na pagkakaiba-iba lamang sa pagitan ng mga ito. Ito ay isang padron sa mga pag-unlad na tinutulungan ng AI, hindi isang depekto na partikular sa isang assistant.
Maaari ba nating suriin nang paunti-unti kung nakapag-install na tayo ng isang hallucinated o malisyosong package?
Oo. Ang plataporma ng Xygeni ay nagbibigay sa mga customer ng access sa isang pinapanatiling database ng mga natukoy na malisyosong pakete, na maaaring hanapin sa iyong kasalukuyang imbentaryo ng mga bahagi, para makumpirma mo sa ilang pag-click kung ang anumang naka-install na ay isang kilalang banta.
Gaano katagal ang implementasyon para sa isang katamtamang laki ng organisasyon na may maraming pangkat?
Ang pagsisimula ng isang unang proyekto ay karaniwang tumatagal ng halos isang oras. Ang pagpapalawak sa isang buong organisasyon ay karaniwang tumatagal ng isa hanggang dalawang linggo, depende sa istruktura ng pangkat at mga paraan ng pagtatrabaho.
I-mapa ang iyong AI attack surface, nang libre
I-mapa ang AI footprint ng iyong application nang libre: lumikha ng account at magpatakbo ng unang pag-scan sa loob ng ilang minutoMagsimula sa iisang aplikasyon, tingnan kung anong AI ang nasa loob nito, at tingnan kung anong bahagi ng iyong AI attack surface ang mapanganib.
*Ang ilang kakayahan na nabanggit sa itaas ay ipinapatupad sa pamamagitan ng Xygeni Shield at ng ASPM/Mga module ng seguridad ng AI; maaaring mag-iba ang availability depende sa plano. Tingnan ang xygeni.io para sa mga kasalukuyang detalye ng produkto.
