O'tgan hafta Xygeni jamoasi ... da edi OWASP Global AppSec EU 2026 Vena shahrida, qayerda 800 dan ortiq kiberxavfsizlik bo'yicha mutaxassislar OWASPning 25 yilligi munosabati bilan Avstriya markazida yig'ilishdi. Ko'rgazma maydonchasida ikki kun, o'nlab suhbatlar CISOS, AppSec yetakchilari va DevSecOps muhandislariva bitta aniq signal: dasturiy ta'minot ta'minoti zanjiri xavfsizligini ta'minlash yangi bosqichga o'tdi va aksariyat tashkilotlar bunga tayyor emas.
Mana biz nimani ko'rdik, nimani ko'rsatdik va sanoat bizga nimani aytmoqda.
OWASP Vena shahrida nimani ishga tushirdi
Bu yilgi konferensiyadagi asosiy e'lon shu edi OWASP AISVS 1.0, 2026-yil 24-iyunda tadbirning o'zida chiqarilgan. standard tezkor in'ektsiyadan tortib MCP xavfsizligigacha bo'lgan hamma narsani qamrab oluvchi 12 bobda 514 ta tekshirilishi mumkin bo'lgan talablarni o'z ichiga oladi. NIST AI RMF yoki ISO/IEC 42001 kabi boshqaruv tizimlaridan farqli o'laroq, har bir AISVS talabi tekshirilishi, o'tishi yoki muvaffaqiyatsiz bo'lishi uchun yoziladi. Bu birinchi hamjamiyat tomonidan boshqariladigan, sinovdan o'tkazilishi mumkin bo'lgan xavfsizlik tekshiruvidir. standard OWASP ASVS asosida modellashtirilgan, AI tizimlari uchun maxsus ishlab chiqilgan, oltin standard Veb-ilovalar xavfsizligi uchun..
AISVSdan tashqari, sessiya trekida hamjamiyat e'tiborining qayerga o'zgargani aks ettirildi. Agentlik ilovalar xavfsizligi, MCP xavfsizligi, xavfsiz dasturiy ta'minot ta'minot zanjiri amaliyotlari, soyali AI ni aniqlash va ishlab chiqarishda LLM ilovalarini sinovdan o'tkazish bo'yicha suhbatlar jadvalda ustunlik qildi. OWASP LLM Top 10, Agentic Apps Top 10 va MCP Top 10 endi yangi paydo bo'layotgan freymvorklar emas; ular faol standardaksariyat tashkilotlar hali o'zlarining ta'sir doirasini xaritada ko'rsatmagan. Vena bu bo'shliqni ko'rinarli qildi.
Xygeni G-08 stendida nimani ko'rsatdi
Biz ikki konferensiya kunidan sanoat tobora ko'proq talab qilayotgan, ammo amalda kamdan-kam hollarda ko'rayotgan narsani namoyish qilish uchun foydalandik: nafaqat ular ishlab chiqaradigan kodni, balki jamoalaringiz ishlab chiqish uchun foydalanadigan AI bo'yicha xavfsizlikni qanday topish, baholash va ta'minlash.
Xygeni AI Inventory’ning Venadagi debyuti tashkilotning butun AI hujum yuzasini, har bir model, agent, MCP serveri va AI kodlash vositasini real vaqt rejimida xaritada ko‘rsatdi, xavf ballari, munosabatlar grafiklari va boshqalar bilan. eksport qilinadigan AI-BOM regulyatorlarga tayyor va enterprise xaridorlar. Stendga tashrif buyuruvchilarning aksariyati uchun ular o'zlarining AI hujum yuzasini tuzilgan, audit qilinadigan inventarizatsiya sifatida ko'rishgan birinchi marta edi.
AI Dependency Firewall Shield zararli npm paketini o'rnatishdan oldin, imzo mavjud bo'lishidan oldin ishlab chiquvchining oxirgi nuqtasida bloklashini namoyish etdi. Bu an'anaviy dasturiy ta'minot ta'minot zanjiri boshqaruvining xavfsiz usuli. SCA Tools paket postinstall skriptini ishga tushirgandan keyin emas, balki yuklash vaqtida ishlaydigan aniqlashni ta'minlay olmaydi.
Demolardan keyingi suhbatlar izchil bo'ldi. Ko'pgina jamoalar ekrandagi savolga javob bera olmadilar: sizning ichingizda sun'iy intellekt qayerda? SDLC?
Ko'rgazma maydonchasi bizga aytib bergan uchta narsa
Kabina va yo'laklarda o'nlab suhbatlar davomida uchta mavzu bir necha bor ko'tarildi.
MCP xavfsizligi yangi ko'r nuqta
Sun'iy intellekt kodlash yordamchilari yoki agentlik ish oqimlarini boshqaradigan har bir jamoada to'liq inventarizatsiya qilinmagan MCP serverlari mavjud. Ko'pchilikda ruxsat etilganlar ro'yxati, xulq-atvor monitoringi va ishlab chiquvchilarning so'nggi nuqtasida ijro etuvchi qatlam yo'q. Bu muammo emas, ommaviy MCP serverlarining 5.5% da asboblar bilan zaharlanish kamchiliklari va 43% da buyruqlarni kiritish zaifliklari mavjud. AISVS 1.0 butun bir bobni MCP xavfsizlik talablariga bag'ishlaydi va Venadagi suhbatlar ta'minot zanjiri hujumlarining keyingi to'lqini aynan shu yerga tushishini tasdiqladi.
AI-BOM masalasi haqiqatga aylanib bormoqda
Xavfsizlik rahbarlari auditorlardan so'rovlar olishni boshladilar va enterprise tashkilotdagi har bir AI aktivining (modellar, ma'lumotlar to'plamlari, agentlar, MCP serverlari va AI kodlash vositalari) mashinada o'qiladigan inventarizatsiyasini ularning munosabatlari, xavf ballari va tartibga solish xaritasi bilan ta'minlash uchun xaridorlar. Ko'pgina tashkilotlar bugungi kunda bunday mahsulotni ishlab chiqara olmaydi. AI-BOM tezda AI davrining vorisiga aylanmoqda. SBOM, va talabga binoan uni yarata oladigan tashkilotlar Yevropa Ittifoqining AI qonuni audit majburiyatlari kelib chiqishi bilan sezilarli muvofiqlik va ishonch ustunligiga ega bo'ladilar.
Xavfsiz dasturiy ta'minot ta'minoti zanjiri endi AI qatlamini himoya qilishni anglatadi
An'anaviy ta'minot zanjiri boshqaruvi (SCA, SBOM avlod, qurilish manbai, SLSA sertifikati) odamlar kod yozadigan va paketlar ommaviy registrlardan keladigan dunyo uchun yaratilgan. 2026-yilda AI agentlari commit kodni avtonom ravishda bajaradi, MCP serverlari foydalanuvchilar nomidan vositalar chaqiruvlarini bajaradi va zararli paketlar sun'iy intellekt vositalarini to'g'ridan-to'g'ri nishonga olish uchun ishlab chiqilmoqda. AI hujum yuzasini qamrab olmaydigan xavfsiz dasturiy ta'minot ta'minot zanjiri strategiyasi endi to'liq emas. Vena bu konsensusni sotuvchi kabinalarida, sessiya suhbatlarida va yo'lak suhbatlarida bir xil darajada ko'rinadigan qildi.
Vena shahridan nimani olib ketamiz
OWASP Global AppSec EU 2026 foydali kalibrlash nuqtasi edi. Ko'rgazma maydonchasida eng tez-tez bo'lib o'tadigan uchta suhbat (MCP xavfsizligi, AI-BOMga tayyorlik va AI-onalikda to'liq dasturiy ta'minot ta'minot zanjirini ta'minlash) SDLC) Xygeni aynan shu suhbatlar uchun yaratilgan.
Zero Trust tarmoq, bulut va identifikatsiya sohalariga yillar oldin yetib keldi. Dasturiy ta'minotni ishlab chiqish hayot aylanishi to'liq qamrab olinmagan qatlamdir. Sun'iy intellekt tomonidan yaratilgan kod hozirda 40% ni tashkil qiladi. commityetakchi tashkilotlarda faoliyat yuritmoqda va agentlik ish oqimlari hujum yuzasini an'anaviy AppSec vositalari moslasha oladiganidan tezroq kengaytirayotganligi sababli, bu bo'shliq 2026 yilning ikkinchi yarmida xavfsizlik guruhlari uchun hal qiluvchi muammoga aylanib bormoqda.
Agar siz Vena shahrini o'tkazib yuborgan bo'lsangiz va G-08 stendida namoyish etgan narsalarimizni ko'rishni istasangiz, chuqurroq o'rganishning ikki yo'li mavjud: mahsulot bo'yicha sayohat platformaning ishlayotganini ko'rish uchun, yoki bir demo buyurtma, va biz sizga ko'rgazma maydonchasida nimani namoyish etganimizni aniq ko'rsatib beramiz.
tez so'raladigan savollar
OWASP AISVS nima?
OWASP AISVS (AI xavfsizlik tekshiruvi) Standard) birinchi hamjamiyat tomonidan boshqariladigan, sinovdan o'tkazilishi mumkin bo'lgan xavfsizlik tekshiruvidir standard AI tizimlari uchun maxsus ishlab chiqilgan. 2026-yil iyun oyida OWASP Global AppSec EU Vienna ko'rgazmasida chiqarilgan bo'lib, unda 12 bob bo'yicha 514 ta tekshirilishi mumkin bo'lgan talablar mavjud bo'lib, ular o'quv ma'lumotlarining yaxlitligi, tezkor kiritish, MCP xavfsizligi, agent orkestratsiyasi, ta'minot zanjiri va boshqalarni qamrab oladi. Boshqaruv tizimlaridan farqli o'laroq, har bir talab o'tish yoki o'tmaslik uchun tekshirilishi kerak.
2026-yilda xavfsiz dasturiy ta'minot ta'minoti zanjiri nima?
2026-yilda xavfsiz dasturiy ta'minot ta'minoti zanjiri nafaqat ochiq kodli qaramliklarni himoya qilishni, balki CI/CD pipelineva qurilish artefaktlari, shuningdek, hozirda dasturiy ta'minotni ishlab chiqishning har bir bosqichiga kiritilgan AI modellari, agentlari, MCP serverlari va AI kodlash vositalari. AI agentlari sifatida commit kod avtonom ravishda va zararli paketlar tobora ko'proq AI vositalarini nishonga olayotgan bir paytda, ta'minot zanjiri xavfsizligi to'liq agentlik ishlab chiqish hayot aylanishini qamrab olish uchun kengaydi.
