پچھلے کچھ سالوں سے، ایپلیکیشن سیکیورٹی کی ایک واضح حد تھی: مخزن اور pipeline. یہ وہ جگہ ہے جہاں کنٹرول بیٹھے تھے، جہاں اسکین چلتے تھے، جہاں ٹیموں نے فیصلہ کیا تھا کہ آیا کچھ پروڈکشن میں بھیج دیا گیا ہے۔ یہ سب ایک مفروضے پر منحصر ہے: ایک ڈویلپر نے واضح طور پر منتخب کیا کہ کون سا کوڈ اور کون سا انحصار سسٹم میں داخل ہوا۔
وہ مفروضہ اب برقرار نہیں رہا۔ آج کل کوڈ کا بڑھتا ہوا حصہ ایک AI ایجنٹ کے ذریعہ لکھا، تجویز کیا یا انسٹال کیا جاتا ہے، اکثر اس کا نام دیکھے بغیر کہ کیا کیا جا رہا ہے۔cisجو کوڈ میں داخل ہوتا ہے اس کا آئن حرکت کرتا ہے، اسی طرح حملہ بھی ہوتا ہے۔ یہ عمل کے بالکل سامنے کی طرف جاتا ہے: جس لمحے کوڈ بنتا ہے، اسسٹنٹ کے اندر اور فائلوں میں جو اسے تشکیل دیتی ہیں۔
یہ آپ کی AI حملے کی سطح ہے: ہر ماڈل، ایجنٹ، MCP سرور، مہارت، اور AI کی تجویز کردہ انحصار جو اب کسی انسان کے اس کا جائزہ لینے سے پہلے خطرے کو متعارف کرا سکتا ہے۔ وہی AI جس پر آپ کے ڈویلپرز بھروسہ ہے اب اس کا حصہ ہے۔ یہ مستقبل کا خطرہ نہیں ہے۔ یہ ایک تبدیلی ہے جو پہلے ہی ہو چکی ہے، اور یہاں یہ ہے کہ عملی طور پر ایسا لگتا ہے۔
حملوں کی لہر، کوئی الگ تھلگ واقعہ نہیں۔
مندرجہ ذیل میں سے کوئی بھی لیبارٹری نہیں ہے۔cise یا ایک فرضی۔ یہ عوامی، دستاویزی واقعات ہیں، تقریباً سبھی پچھلے سال کے، اور ہر ایک خود AI ایجنٹ کے تھوڑا قریب آتا ہے:
- اگست 2025، s1ngularity: حملہ آوروں نے Nx سے ایک پبلشنگ ٹوکن چرا لیا، جو کہ سب سے زیادہ استعمال ہونے والے بلڈ سسٹمز میں سے ایک ہے، اور ڈیولپرز کی مشینوں پر راز تلاش کرنے کے لیے AI ٹولز کا استعمال کرتے ہوئے نقصان دہ ورژن کو npm پر دھکیل دیا۔
- ستمبر 2025، چاک/ڈیبگ: رسائی کے لحاظ سے npm کے سب سے بڑے سمجھوتوں میں سے ایک، دو بلین سے زیادہ ہفتہ وار ڈاؤن لوڈز کے ساتھ 18 پیکجز، ایک ہی مینٹینر کے اکاؤنٹ کے ہائی جیک کے ذریعے حاصل کیے گئے۔
- ستمبر 2025، شائی الحلد: پہلے دستاویزی کیڑے میں سے ایک جو npm کے ذریعے خود کو پھیلانے کے قابل ہے۔ نومبر میں اس کی دوسری لہر زیادہ جارحانہ تھی اور 25,000 سے زیادہ ذخیروں میں بے نقاب رازوں سے منسلک تھی۔
- اکتوبر 2025، غیر استعمال شدہ درآمدات: PhantomRaven مہم کا حصہ، جہاں AI hallucination نے slopsquatting تکنیک کے ذریعے npm میں اصلی میلویئر متعارف کرایا۔
- اس سال، ClawHub: ایک زہر آلود AI مہارت کی رجسٹری جہاں سب سے زیادہ ڈاؤن لوڈ ہونے والی سات مہارتوں میں سے پانچ میلویئر تھیں۔
صنعت اسی نتیجے کو باقاعدہ بنا رہی ہے۔ LLM ایپلی کیشنز کے لیے OWASP ٹاپ 10 پہلے نمبر پر فوری انجیکشن رکھتا ہے۔ OWASP MCP ٹاپ 10 (فی الحال بیٹا میں) ان پروٹوکول ایجنٹوں کو نشانہ بناتا ہے جو ٹولز سے بات کرنے کے لیے استعمال کرتے ہیں۔ OWASP Agentic Skills Top 10، ایک نیا انکیوبیٹر اسٹیج پراجیکٹ، بدنیتی پر مبنی مہارتوں کو اپنا سب سے بڑا خطرہ قرار دیتا ہے۔ OWASP عام طور پر احتیاط سے حرکت کرتا ہے۔ ایک ساتھ تین محاذ کھولنا، ان میں سے ایک فوری طور پر، کچھ کہتا ہے کہ یہ کتنی تیزی سے آگے بڑھ رہا ہے۔
تینوں ایک ہی خیال پر اکٹھے ہیں: ایک ماڈل کے ارد گرد ہدایات، ٹولز اور کنفیگریشنز اب AI حملے کی سطح کا حصہ ہیں، اور وہ عام طور پر آپ کے اپنے ذخیرے کے اندر رہتے ہیں۔ جو آپ کی ٹیموں سے پوچھنے کے قابل پہلا سوال اٹھاتا ہے: آپ کے ریپو میں رہنے والی قواعد کی فائلوں، مہارتوں اور MCP کنفیگرز کا کون جائزہ لیتا ہے؟
ویکٹر 1: زہریلی مہارت
ہنر ہدایات اور صلاحیتوں کی ایک فائل ہے جو ایک AI ایجنٹ کو سکھاتی ہے کہ کسی کام کو کیسے انجام دیا جائے۔ ایجنٹ کے رویے کو تشکیل دینے کا یہ واحد طریقہ نہیں ہے (قواعد فائلیں، hooks، اور MCP کنفیگرز ایسا ہی کرتے ہیں)، لیکن وہ سب ایک پراپرٹی کا اشتراک کرتے ہیں: وہ کوڈ کے ساتھ ریپوزٹری کے اندر سفر کرتے ہیں۔
اس سال کی تحقیق نے ان میں سے 4,000 مہارتوں کا جائزہ لیا:
- 36% میں کم از کم ایک سیکورٹی خامی تھی۔
- 13.4 فیصد اہم تھے۔
- 100 کے قریب مکمل طور پر بدنیتی پر مبنی پے لوڈز تھے۔
بنیادی تبدیلی: حملہ آور اب آپ کے کوڈ کو نشانہ نہیں بناتا ہے۔ وہ اس ایجنٹ کو نشانہ بناتے ہیں جو آپ کا کوڈ لکھتا ہے، پوشیدہ ہدایات (بعض اوقات پوشیدہ حروف کا استعمال کرتے ہوئے) لگاتا ہے جسے ماڈل پڑھتا ہے اور آپریٹو سمجھتا ہے۔ ایک انسانی جائزہ لینے والا اس کی منظوری دیتا ہے۔ pull request نیک نیتی سے کیونکہ، ان کی نظر میں فائل صاف نظر آتی ہے۔ ماڈل ہدایات کی تشریح کرتا ہے جو جائزہ لینے والے نے کبھی نہیں دیکھا۔
یہ نظریاتی نہیں ہے۔ CVE-2025-59536 (CVSS 8.7) نے کلاڈ کوڈ کو غیر بھروسہ مند ذخیرے سے لانچ کرنے کی اجازت دی، جہاں صارف کے ٹرسٹ ڈائیلاگ کو قبول کرنے سے پہلے ایک خراب کنفیگریشن کمانڈز چلا سکتی ہے۔ ایک دوسری کمزوری، CVE-2026-21852، نے صارف کے کسی بھی چیز کی منظوری کے بغیر، پروجیکٹ کے زیر کنٹرول کنفیگریشن کے ذریعے API کلید کو نکالنے کی اجازت دی۔
H2: ویکٹر 2: slopsquatting
یہ نام کلاسک ٹائپوسکویٹنگ اٹیک کے ساتھ "سلاپ" (جنک ایک AI کبھی کبھی پیدا کرتا ہے) کو ملا دیتا ہے۔ Typosquatting انسانی غلطی پر منحصر ہے: حملہ آور ایک مقبول کے قریب پیکیج کا نام رجسٹر کرتا ہے اور ٹائپنگ کی غلطی کا انتظار کرتا ہے۔ یہ بے ترتیب ہے۔
Slopsquatting غلطی کا انتظار نہیں کرتا۔ اس سیشن کے دوران ذکر کردہ مطالعہ میں، AI ماڈلز کے ذریعہ تیار کردہ پیکیج کے 19.7٪ حوالہ جات نے ایسے پیکیجز کی طرف اشارہ کیا جو موجود نہیں ہیں۔ ماڈلز ایک ہی ناموں کو بار بار گمراہ کرنے کا رجحان رکھتے ہیں، اس لیے حملہ آور دیکھتا ہے کہ AI کس ناموں کو ایجاد کرتا ہے، ان ناموں کو بدنیتی پر مبنی کوڈ کے ساتھ رجسٹر کرتا ہے، اور اسے آپ کی ایپلیکیشن میں کھینچنے کے لیے اگلی AI کے تجویز کردہ انسٹال کا انتظار کرتا ہے۔
پیمانہ چھوٹا نہیں ہے: 2025 میں 450,000 سے زیادہ نئے نقصان دہ پیکجوں کی نشاندہی کی گئی۔ دو مثالیں اسے ٹھوس بناتی ہیں:
- ایک محقق نے ایک بے ضرر ٹیسٹ پیکج لگایا جسے کہا جاتا ہے۔ گلے ملنے والا چہرہ نقطہ ثابت کرنے کے لئے. یہ لاگ ان ہوا۔ تین ماہ میں 30,000 سے زیادہ ڈاؤن لوڈز۔
- غیر استعمال شدہ درآمدات, اوپر کی ٹائم لائن سے، میلویئر کی تصدیق ہوئی تھی، بالکل اسی تکنیک کا استعمال کرتے ہوئے، عوامی رجسٹری میں رہتے ہیں۔ وہ ایک امتحان نہیں تھا۔
سوال یہ نہیں ہے کہ کیا آپ کی ٹیم کے ساتھ ایسا ہو سکتا ہے۔ یہ ہے کہ آج کتنے AI کے تجویز کردہ پیکجز آپ کے کوڈ میں داخل ہو رہے ہیں بغیر کوئی ان کی طرف دیکھے۔
جواب: standards پکڑ رہے ہیں
دو قوتیں متوازی چلتی ہیں۔ جب کہ حملوں میں تیزی آتی ہے، standards لاشیں ردعمل کر رہی ہیں:
- NIST SP 800-218A AI ماڈلز کے لیے مخصوص طریقوں کے ساتھ محفوظ سافٹ ویئر ڈویلپمنٹ فریم ورک میں توسیع کرتا ہے، بشمول سالمیت اور اصل کے ثبوت۔
- In مئی 2026، CISA اور اس کے بین الاقوامی G7 پارٹنرز AI کے لیے مواد کے سافٹ ویئر بل پر رہنمائی شائع کی، جس میں یہ وضاحت کی گئی کہ اس انوینٹری میں کیا ہے: ماڈل، ڈیٹاسیٹ، اجزاء، فراہم کنندگان، اور انحصار۔
سمت واضح ہے: SBOM ایک AI-BOM میں پھیل رہا ہے۔ آپ جس چیز کی انوینٹری نہیں کر سکتے اس کی تصدیق یا تصدیق نہیں کر سکتے۔ اور آج، زیادہ تر تنظیمیں یہ نہیں کر سکتیں:
- 43٪ AI ٹولز کا آڈٹ یا انوینٹری نہیں کر سکتے جو وہ پہلے سے استعمال کر رہے ہیں۔
- 79٪ ان کے اپنے ماحول میں چلنے والے AI ایجنٹوں اور MCP سسٹم میں کوئی مرئیت نہیں ہے۔
ریگولیٹڈ ماحول میں، یہ انوینٹری اچھی پریکٹس سے معاہدہ کی توقع یا تعمیل کی ذمہ داری کی طرف بڑھ رہی ہے۔ لیکن ایک انوینٹری صرف آپ کو بتاتی ہے کہ آپ کے پاس کیا ہے۔ خود ہی، یہ کسی حملے کو نہیں روکتا۔
خلا: AppSec کے لیے ایک EDR
SAST اور SCA ٹولز کوڈ اور انحصار کا تجزیہ کرنے کے لیے ڈیزائن کیا گیا ہے، نہ کہ کسی ایجنٹ کے رویے یا اس کی ترتیب کے۔ ایک ای ڈی آر عمل اور نیٹ ورک کنکشن کو دیکھتا ہے، لیکن اس میں عام طور پر انحصار یا ایجنٹ کی ترتیب کی تشریح کرنے کے لیے ایپلیکیشن-سیکیورٹی سیاق و سباق کی کمی ہوتی ہے۔ ٹولز کی ان دو اقسام کے درمیان ایک خلا ہے، بالکل وہ جگہ جہاں کوڈ اب بنایا جا رہا ہے، اور بالکل جہاں AI حملہ کی سطح رہتی ہے۔
اس خلا میں تین اندھے دھبے ہیں:
- AI اثاثے ماڈلز، ایجنٹس، اور MCP سرورز آپ پر ظاہر نہیں ہوتے ہیں۔ SASTکی یا SCAکا ریڈار آپ انوینٹری نہیں کر سکتے جو آپ نہیں دیکھ سکتے۔
- کنفیگریشن فائلز۔ ہنر، قواعد، اور MCP تشکیل ایجنٹ کے رویے کو تشکیل دیتے ہیں لیکن عام طور پر ان کا جائزہ لیا جاتا ہے جیسے وہ بے ضرر سادہ متن ہوں۔
- پیکیج انسٹال کرتا ہے۔ A بدنیتی پر مبنی انحصار اس کے بدنیتی پر مبنی معلوم ہونے سے پہلے چل سکتا ہے۔، پھر کسی کی منظوری کے بغیر رازوں اور ٹوکنوں کو کھولیں۔
Xygeni اسے کیسے بند کرتا ہے۔
ای ڈی آر اینڈ پوائنٹ کے لیے کیا کرتا ہے، زیجینی شیلڈ AI کی مدد سے چلنے والے ترقیاتی لائف سائیکل کے لیے کرتا ہے: یہ اس بات کی حفاظت کرتا ہے کہ کوڈ کہاں بنایا جاتا ہے جبکہ ایپلیکیشن سیکیورٹی سیاق و سباق کو سمجھتے ہوئے
- مرئیت جہاں SAST اور SCA نہیں پہنچنا. Xygeni بدنیتی پر مبنی مہارتوں اور قوانین کی فائلوں کو جھنڈا دیتا ہے، MCP کنفیگرز کا تجزیہ کرتا ہے، اور ایک آڈٹ کے لیے تیار کرتا ہے۔ AI-BOM، OWASP LLM، MCP، اور Agentic Skills Top 10s میں نقشہ بنایا گیا ہے۔
- انٹیلی جنس، اکیلے دستخط نہیں. MEW (Malware Early Warning) CVE، ایڈوائزری، یا عوامی دستخط موجود ہونے سے پہلے کسی پیکیج کو بلاک کرنے کے لیے اس کے رویے اور خطرے کا تجزیہ کرتا ہے۔ تازہ ترین نیٹ ورک انٹیلی جنس معلوم بدنیتی پر مبنی انفراسٹرکچر سے کنکشن کاٹ دیتی ہے۔
- ایک کنٹرول پوائنٹ، کوڈ سے اینڈ پوائنٹ تک۔ ایک واحد ایجنٹ، ماحول کو دوبارہ تعمیر کیے بغیر تعینات کیا گیا، جس میں یورپی ڈیٹا کی خودمختاری اور تعمیل کے ثبوت شامل ہیں۔
ایک لائیو مظاہرے میں، اس پالیسی کے نفاذ نے AI ایجنٹ کی تین مختلف تنصیب کے راستوں (ورچوئل ماحول، پیکیج مینیجر، اور ڈائریکٹ ڈاؤن لوڈ) پر ایک بدنیتی پر مبنی پیکج انسٹال کرنے کی کوشش کو انسٹال کرنے سے پہلے روک دیا، یہ سبھی اصل وقت میں لاگ ان ہیں اور SOC کو برآمد کرنے کے قابل ہیں۔ پہلے پروجیکٹ میں سوار ہونے میں عام طور پر ایک گھنٹہ لگتا ہے۔ ڈھانچے کے لحاظ سے ایک مکمل تنظیم میں کوریج کو بڑھانے میں عام طور پر ایک سے دو ہفتے لگتے ہیں۔
اکثر پوچھے جانے والے سوالات
ایک پیراگراف میں AI حملے کی سطح کیا ہے؟
AI حملہ کی سطح ماڈلز، ایجنٹوں، MCP سرورز، مہارتوں، قواعد کی فائلوں، اور AI کی تجویز کردہ انحصار کا مجموعہ ہے جس کے ذریعے خطرہ کسی درخواست میں داخل ہو سکتا ہے، اکثر انسان اس کا جائزہ لینے سے پہلے۔ یہ کنفیگریشن فائلوں اور ہدایات کو شامل کرنے کے لیے روایتی کوڈ اور انحصار سے آگے بڑھتا ہے جو کہ ایک AI ایجنٹ کے برتاؤ کی شکل دیتا ہے۔
میں کیسے بتا سکتا ہوں کہ آیا میرے AI اسسٹنٹ کی طرف سے تجویز کردہ پیکیج کا نام فریب ہے یا جائز لیکن ناواقف ہے؟
انسٹال کرنے سے پہلے تصدیق کریں: رجسٹری کو چیک کریں اور صرف نام پر بھروسہ کرنے کے بجائے پیکیج کے اصل مواد اور ارادے کا تجزیہ کریں۔ Xygeni اس توثیق کو کوڈ جنریشن کے دوران ریئل ٹائم میں خودکار کرتا ہے، لہذا انسٹال کو چلنے سے پہلے ہی منظور یا بلاک کر دیا جاتا ہے، چاہے وہ پیکج آپ کو پہچانا ہو یا نہ ہو۔
کیا slopsquatting تمام AI ماڈلز کو یکساں طور پر متاثر کرتی ہے؟
19.7٪ اعداد و شمار کے پیچھے کی تحقیق نے متعدد ماڈلز کا احاطہ کیا اور پایا کہ مسئلہ کو وسیع پیمانے پر تقسیم کیا گیا ہے، ان کے درمیان صرف تھوڑا سا فرق ہے۔ یہ AI کی مدد سے ہونے والی ترقی کا ایک نمونہ ہے، نہ کہ کسی اسسٹنٹ کے لیے مخصوص۔
کیا ہم سابقہ طور پر چیک کر سکتے ہیں کہ آیا ہم نے پہلے ہی ایک فریب یا نقصاندہ پیکج انسٹال کر لیا ہے؟
جی ہاں Xygeni کا پلیٹ فارم صارفین کو پتہ چلنے والے نقصان دہ پیکجوں کے برقرار رکھے ہوئے ڈیٹا بیس تک رسائی فراہم کرتا ہے، جو آپ کی موجودہ اجزاء کی انوینٹری کے خلاف تلاش کیا جا سکتا ہے، تاکہ آپ چند کلکس میں تصدیق کر سکیں کہ آیا پہلے سے نصب شدہ کوئی بھی چیز معلوم خطرہ ہے۔
متعدد ٹیموں کے ساتھ درمیانے درجے کی تنظیم کے نفاذ میں کتنا وقت لگتا ہے؟
پہلے پروجیکٹ میں شامل ہونے میں عام طور پر تقریباً ایک گھنٹہ لگتا ہے۔ ٹیم کے ڈھانچے اور کام کرنے کے طریقوں پر منحصر ہے، ایک مکمل تنظیم میں پیمانے پر عام طور پر ایک سے دو ہفتے لگتے ہیں۔
اپنے AI حملے کی سطح کو مفت میں نقشہ بنائیں
اپنی ایپلیکیشن کے AI فٹ پرنٹ کو مفت میں نقشہ بنائیں: ایک اکاؤنٹ بنائیں اور منٹوں میں پہلا اسکین چلائیں۔. ایک ایپلیکیشن کے ساتھ شروع کریں، دیکھیں کہ اس کے اندر AI کیا ہے، اور دیکھیں کہ آپ کے AI حملے کی سطح کا کون سا حصہ خطرناک ہے۔
*مذکورہ بالا کچھ صلاحیتوں کو Xygeni Shield اور کے ذریعے نافذ کیا گیا ہے۔ ASPM/AI سیکورٹی ماڈیولز؛ منصوبہ بندی کے لحاظ سے دستیابی مختلف ہو سکتی ہے۔ دیکھیں xygeni.io موجودہ مصنوعات کی تفصیلات کے لیے۔
