Fún ọdún díẹ̀ sẹ́yìn, ààbò ohun èlò ní ààlà tó ṣe kedere: ibi ìpamọ́ àti pipelineIbẹ̀ ni àwọn olùdarí náà ti wà, níbi tí àwọn àyẹ̀wò náà ti ń lọ, níbi tí àwọn ẹgbẹ́ ti pinnu bóyá ohun kan ti wà fún ìṣẹ̀dá. Gbogbo rẹ̀ sinmi lórí èrò kan: olùgbékalẹ̀ kan yan èyí tí ó jẹ́ kódì àti èyí tí ó jẹ́ ìgbẹ́kẹ̀lé tí ó wọ inú ètò náà ní pàtó.
Àbá náà kò sí mọ́. Aṣojú AI kan ló ń kọ, dábàá, tàbí fi sori ẹrọ koodu lónìí, láìsí ẹnikẹ́ni tó ń wo orúkọ ohun tí wọ́n ń fà. Nígbà tí decision ohun tí ó wọ inú kódì náà ń lọ, bẹ́ẹ̀ náà ni ìkọlù náà ń lọ. Ó ń lọ sí iwájú ìlànà náà: nígbà tí a bá ṣẹ̀dá kódì náà, nínú olùrànlọ́wọ́ fúnra rẹ̀ àti nínú àwọn fáìlì tí ó ń ṣètò rẹ̀.
Èyí ni ojú ìkọlù AI rẹ: gbogbo àwòṣe, aṣojú, olupin MCP, ọgbọ́n, àti ìgbẹ́kẹ̀lé AI tí a dámọ̀ràn tí ó lè fa ewu nísinsìnyí kí ènìyàn tó ṣe àtúnyẹ̀wò rẹ̀. AI kan náà tí àwọn olùgbékalẹ̀ rẹ gbẹ́kẹ̀lé ti di ara rẹ̀ báyìí. Èyí kì í ṣe ewu ọjọ́ iwájú. Ó jẹ́ ìyípadà tí ó ti ṣẹlẹ̀ tẹ́lẹ̀, àti bí ó ṣe rí ní ìṣe.
Ìgbì ìkọlù, kìí ṣe ìṣẹ̀lẹ̀ kan ṣoṣo
Kò sí ọ̀kan lára àwọn wọ̀nyí tí ó jẹ́ adánwò yàrácise tàbí àbájáde kan. Àwọn wọ̀nyí jẹ́ ìṣẹ̀lẹ̀ gbogbogbòò, tí a kọ sílẹ̀, ó fẹ́rẹ̀ẹ́ jẹ́ gbogbo wọn láti ọdún tó kọjá, àti pé ọ̀kọ̀ọ̀kan wọn sún mọ́ olùdarí AI fúnra rẹ̀ díẹ̀:
- Oṣù Kẹjọ Ọdún 2025, s1ngularity: Àwọn olùkọlù jí àmì ìtẹ̀wé kan láti ọ̀dọ̀ Nx, ọ̀kan lára àwọn ètò ìkọ́lé tí a ń lò jùlọ, wọ́n sì ti àwọn ẹ̀yà búburú sí npm, nípa lílo àwọn irinṣẹ́ AI láti wá àṣírí lórí àwọn ẹ̀rọ àwọn olùgbékalẹ̀.
- Oṣù Kẹ̀sán 2025, àtúnṣe sí i: ọ̀kan lára àwọn àdéhùn tó tóbi jùlọ ní npm, àwọn páálí 18 pẹ̀lú àwọn ìgbàsílẹ̀ tó ju bílíọ̀nù méjì lọ lọ́sọ̀ọ̀sẹ̀, tí wọ́n gbà nípasẹ̀ ìjígbé àkọọ́lẹ̀ olùtọ́jú kan ṣoṣo.
- Oṣù Kẹ̀sán 2025, Ṣáì-Hulud: ọ̀kan lára àwọn kòkòrò tí a kọ́kọ́ kọ sílẹ̀ tí ó lè tàn kálẹ̀ fúnra rẹ̀ nípasẹ̀ npm. Ìgbì kejì rẹ̀, ní oṣù kọkànlá, jẹ́ èyí tí ó lágbára jù, ó sì so mọ́ àwọn àṣírí tí a ṣí payá káàkiri àwọn ibi ìkópamọ́ tí ó ju 25,000 lọ.
- Oṣù Kẹ̀wàá 2025, àwọn ìgbéjáde tí a kò lò: apakan ipolongo PhantomRaven, nibiti irokuro AI ṣe mu malware gidi wa sinu npm nipasẹ ọna slopsquatting kan.
- Ní ọdún yìí, ClawHub: ìforúkọsílẹ̀ ọgbọ́n AI tí ó ní ìpalára níbi tí márùn-ún nínú àwọn ọgbọ́n méje tí a gba láti ìgbàsókè jùlọ jẹ́ malware.
Ilé iṣẹ́ náà ń ṣe àgbékalẹ̀ ìparí kan náà. Àwọn OWASP Top 10 fún Àwọn Ohun Èlò LLM fi abẹ́rẹ́ kíákíá sí nọ́mbà àkọ́kọ́. Àwọn OWASP MCP Top 10 (tí wọ́n wà ní beta lọ́wọ́lọ́wọ́) fojú sí àwọn aṣojú ìlànà tí wọ́n ń lò láti bá àwọn irinṣẹ́ sọ̀rọ̀. Àwọn OWASP Agentic Skills Top 10, iṣẹ́ tuntun kan tí wọ́n ń ṣe ní Incubator, pe àwọn ọgbọ́n búburú gẹ́gẹ́ bí ewu tó ga jùlọ. OWASP sábà máa ń rìn pẹ̀lú ìṣọ́ra; ó máa ń ṣí àwọn iwájú mẹ́ta lẹ́ẹ̀kan náà, ọ̀kan nínú wọn ní kíákíá, ó sọ nǹkan kan nípa bí èyí ṣe ń yára sí i.
Àwọn mẹ́tẹ̀ẹ̀ta náà para pọ̀ lórí èrò kan náà: àwọn ìtọ́ni, irinṣẹ́, àti ìṣètò tí ó yí àwòrán kan ká ti di apá kan lára ojú ìkọlù AI báyìí, wọ́n sì sábà máa ń gbé inú ibi ìpamọ́ tìrẹ. Èyí tí ó gbé ìbéèrè àkọ́kọ́ tí ó yẹ kí a bi àwọn ẹgbẹ́ rẹ dìde: ta ni ó ń ṣe àtúnyẹ̀wò àwọn fáìlì òfin, àwọn ọgbọ́n, àti àwọn ìṣètò MCP tí ó wà nínú ibi ìpamọ́ rẹ?
Vector 1: ọgbọ́n tí a ti pa
Ọgbọ́n jẹ́ fáìlì ìtọ́ni àti agbára tí ó ń kọ́ aṣojú AI bí a ṣe ń ṣe iṣẹ́ kan. Kì í ṣe ọ̀nà kan ṣoṣo láti ṣe àgbékalẹ̀ ìwà aṣojú kan (àwọn fáìlì òfin, hooks, àti àwọn ìṣètò MCP ṣe bẹ́ẹ̀), ṣùgbọ́n gbogbo wọn ní ohun ìní kan náà: wọ́n ń rìnrìn àjò lọ sínú ibi ìpamọ́, pẹ̀lú kódì náà.
Iwadi ni odun yi se ayewo 4,000 ninu awon ogbon wonyi:
- 36% ní o kere ju àléébù ààbò kan.
- 13.4% ló ṣe pàtàkì.
- Ó fẹ́rẹ̀ẹ́ tó ọgọ́rùn-ún (100) tó ní àwọn ẹrù ìnira tó burú jáì.
Ìyípadà pàtàkì: olùkọlù náà kò fojú sí kódì rẹ mọ́. Wọ́n fojú sí aṣojú tí ó kọ kódì rẹ, wọ́n ń gbin àwọn ìtọ́ni tí a fi pamọ́ (nígbà míì, wọ́n ń lo àwọn ohun kikọ tí a kò lè rí) tí àwòṣe náà kà tí ó sì ń wò gẹ́gẹ́ bí iṣẹ́. Olùṣàtúnyẹ̀wò ènìyàn fọwọ́ sí i pull request ní ìgbàgbọ́ rere nítorí, lójú wọn, fáìlì náà dàbí ẹni tó mọ́. Àwòṣe náà túmọ̀ àwọn ìtọ́ni tí olùṣàyẹ̀wò kò rí rí.
Èyí kì í ṣe ti èrò-orí. CVE-2025-59536 (CVSS 8.7) gba láàyè láti ṣe ìfilọ́lẹ̀ Claude Code láti ibi ìpamọ́ tí a kò gbẹ́kẹ̀lé, níbi tí ìṣètò búburú kan lè ṣiṣẹ́ àwọn àṣẹ kí olùlò tó gba ìjíròrò ìgbẹ́kẹ̀lé náà. Àìlera kejì, CVE-2026-21852, gba láàyè láti yọ kọ́kọ́rọ́ API kan kúrò nípasẹ̀ ìṣètò tí iṣẹ́-àgbékalẹ̀ ń ṣàkóso, láìsí olùlò tí ó fọwọ́ sí ohunkóhun.
H2: Vektora 2: slopsquatting
Orúkọ náà da “slop” (ẹ̀yà tí AI máa ń mú jáde nígbà míì) pọ̀ mọ́ ìkọlù ìkọlù ìkọlù ìgbàanì. Ìkọlù ìkọlù sinmi lórí àṣìṣe ènìyàn: olùkọlù kan máa ń kọ orúkọ àkójọpọ̀ kan sílẹ̀ tí ó sún mọ́ èyí tí ó gbajúmọ̀, ó sì ń dúró de àṣìṣe ìkọlù. Ó jẹ́ àìròtẹ́lẹ̀.
Slopsquatting kò dúró de àṣìṣe kan. Nínú ìwádìí tí a tọ́ka sí ní àkókò ìpàdé yìí, 19.7% àwọn ìtọ́kasí àpò tí àwọn àwòṣe AI ṣe fihàn pé àwọn àpò tí kò sí. Àwọn àwòṣe sábà máa ń fi àwọn orúkọ kan náà hàn léraléra, nítorí náà, olùkọlù kan máa ń wo orúkọ AI tí ó ṣe àgbékalẹ̀ rẹ̀, ó máa ń fi àmì ìbàjẹ́ kọ àwọn orúkọ wọ̀nyẹn, ó sì máa ń dúró de ìgbà tí AI yóò fi fi sori ẹ̀rọ tí ó tẹ̀lé e sínú àpù rẹ.
Iwọn naa kii ṣe kekere: Àwọn àkójọpọ̀ ìwà búburú tuntun tó lé ní 450,000 ni a ṣàwárí ní ọdún 2025. Àpẹẹrẹ méjì ló mú kí ó ṣe kedere:
- Olùwádìí kan gbin àpò ìdánwò tí kò léwu kan tí a pè ní huggingface-cli láti fi ẹ̀rí hàn. Ó wọlé àwọn ìgbàsílẹ̀ tó ju ẹgbẹ̀rún mẹ́ta lọ ní oṣù mẹ́ta.
- àwọn ìgbéjáde tí a kò lò, láti àkókò tí a kọ sí òkè yìí, ni a ti fìdí rẹ̀ múlẹ̀ pé ó jẹ́ malware, ó wà ní ibi ìforúkọsílẹ̀ gbogbogbòò, nípa lílo ọ̀nà yìí gan-an. Èyí kì í ṣe ìdánwò.
Ibeere naa kii se boya eyi le sele si egbe re. Iye awon idii ti AI daba lo n fi koodu re sita loni laisi enikeni ti o n wo won.
Idahun naa: standardÀwọn ènìyàn ń gbá ara wọn mọ́ra
Àwọn agbára méjì máa ń sáré ní ìfẹ̀sẹ̀tẹ̀. Bí àwọn ìkọlù náà bá ń yára sí i, standardÀwọn ara ń ṣe àgbéyẹ̀wò:
- NIST SP 800-218A fa ilana idagbasoke sọfitiwia aabo pọ pẹlu awọn iṣe ti o kan si awọn awoṣe AI, pẹlu ẹri ti iduroṣinṣin ati ipilẹṣẹ.
- In Le 2026, CISA àti àwọn alábáṣiṣẹpọ̀ rẹ̀ kárí ayé G7 ìtọ́sọ́nà tí a tẹ̀ jáde lórí Ìwé-àṣẹ Àwọn Ohun Èlò fún Ìmọ̀-Ẹ̀rọ-Aláìní-Àìsàn, tí ó ń ṣàlàyé ohun tí ó jẹ́ ti àkójọpọ̀ náà: àwọn àwòṣe, àwọn ìṣètò ìpamọ́, àwọn èròjà, àwọn olùpèsè, àti àwọn ìgbẹ́kẹ̀lé.
Itọsọna naa ṣe kedere: SBOM ń gbòòrò sí i di AI-BOM. O ko le jẹrisi tabi jẹri si ohun ti o ko le ṣe akojopo. Ati loni, ọpọlọpọ awọn ajọ ko le:
- 43% kò le ṣe àyẹ̀wò tàbí ṣe àkójọ àwọn irinṣẹ́ AI tí wọ́n ti ń lò tẹ́lẹ̀.
- 79% kò ní ìrísí kankan sí àwọn aṣojú AI àti àwọn ètò MCP tí ń ṣiṣẹ́ ní àyíká wọn.
Ní àwọn agbègbè tí a ti ṣètò, àkójọ ọjà yìí ń yípadà láti ìṣe rere sí ìfojúsùn àdéhùn tàbí ojúṣe ìtẹ̀lé. Ṣùgbọ́n àkójọ ọjà kan ń sọ ohun tí o ní fún ọ nìkan. Lórí ara rẹ̀, kò ní dí ìkọlù lọ́wọ́.
Ààlà náà: EDR kan fún AppSec
SAST ati SCA Àwọn irinṣẹ́ ni a ṣe láti ṣàyẹ̀wò kódì àti àwọn ìgbẹ́kẹ̀lé, kìí ṣe ìwà aṣojú tàbí ìṣètò rẹ̀. BDU Ó rí àwọn ìlànà àti àwọn ìsopọ̀ nẹ́tíwọ́ọ̀kì, ṣùgbọ́n ó sábà máa ń ní ààlà ààbò ohun èlò láti túmọ̀ ìgbẹ́kẹ̀lé tàbí ìṣètò aṣojú. Láàárín àwọn ẹ̀ka méjì ti irinṣẹ́ wọ̀nyẹn ni àlàfo kan wà, ibi tí a ń ṣẹ̀dá kódì báyìí, àti ibi tí ojú ìkọlù AI ń gbé.
Àfojúsùn yẹn ní àwọn ibi ìfọ́jú mẹ́ta:
- Àwọn ohun ìní AI. Àwọn àwòṣe, àwọn aṣojú, àti àwọn olupin MCP kò hàn lórí rẹ SAST's tabi SCA's radar. O ko le ṣe àkọsílẹ̀ ohun tí o ko le rí.
- Àwọn fáìlì ìṣeto. Àwọn ọgbọ́n, òfin, àti ìlànà MCP máa ń ṣe àgbékalẹ̀ ìwà àwọn aṣojú ṣùgbọ́n a sábà máa ń ṣe àtúnyẹ̀wò wọn bí ẹni pé wọ́n jẹ́ ọ̀rọ̀ lásán tí kò léwu.
- Awọn fifi sori ẹrọ ti package. A ìgbẹ́kẹ̀lé búburú lè ṣiṣẹ́ kí a tó mọ̀ pé ó jẹ́ ìkà, lẹ́yìn náà, yọ àwọn àṣírí àti àmì kúrò láìsí ẹnikẹ́ni tí ó fọwọ́ sí i.
Báwo ni Xygeni ṣe ń pa á
Ohun ti EDR ṣe fun awọn opin aaye, Xygeni Shield ṣe fún ìgbésí ayé ìdàgbàsókè tí AI ń rànlọ́wọ́: ó ń dáàbò bo ibi tí a ti ṣẹ̀dá kódì nígbàtí ó ń lóye àyíká ààbò ohun èlò.
- Ibi ti a le ri i SAST ati SCA má ṣe dé ọ̀dọ̀. Xygeni ṣàfihàn àwọn ọgbọ́n ìkà àti àwọn fáìlì, ó ṣàyẹ̀wò àwọn ìṣètò MCP, ó sì kọ́ àyẹ̀wò tí ó ti ṣetán AI-BOM, tí a yà sí àwọn OWASP LLM, MCP, àti àwọn Agentic Skills Top 10s.
- Ọgbọ́n, kìí ṣe ìfọwọ́sowọ́pọ̀ nìkan. MEW (Ìkìlọ̀ Àkọ́kọ́ Malware) ń ṣàyẹ̀wò ìwà àti ewu tí àpò kan lè ní láti dí i kí CVE, ìmọ̀ràn, tàbí ìfọwọ́sowọ́pọ̀ gbogbogbòò tó wà. Ìmọ̀ ẹ̀rọ ayélujára tó wà ní ìgbàlódé máa ń gé àwọn ìsopọ̀ mọ́ àwọn ètò ìṣẹ̀dá tí a mọ̀ sí ibi tí kò dára.
- Ibùdó ìdarí kan, láti kódù sí òpin. Aṣojú kan ṣoṣo, tí a gbé kalẹ̀ láìtún àgbékalẹ̀ àyíká, pẹ̀lú àṣẹ ìpamọ́ dátà ti ilẹ̀ Yúróòpù àti ẹ̀rí ìtẹ̀léra tí a kọ́ sínú rẹ̀.
Nínú ìfihàn láyìíká kan, àwọn aláṣẹ ìlànà yìí dí ìgbìyànjú aṣojú AI kan láti fi àpò ìbàjẹ́ kan sí oríṣiríṣi ọ̀nà ìfisílẹ̀ mẹ́ta (àyíká onífojúrí, olùṣàkóso àpò, àti ìgbàsílẹ̀ tààrà) kí a tó parí ìfisílẹ̀ náà, gbogbo wọn wọlé ní àkókò gidi tí a sì lè kó jáde sí SOC. Wíwọlé iṣẹ́ àkọ́kọ́ sábà máa ń gba nǹkan bíi wákàtí kan; fífún àkójọpọ̀ ní gbogbo ilé-iṣẹ́ sábà máa ń gba ọ̀sẹ̀ kan sí méjì, ó sinmi lórí bí a ṣe ṣètò rẹ̀.
FAQ
Kí ni ojú ìkọlù AI ní ìpínrọ̀ kan?
Iborí ìkọlù AI ni àkójọ àwọn àpẹẹrẹ, àwọn aṣojú, àwọn olupin MCP, àwọn ọgbọ́n, àwọn fáìlì òfin, àti àwọn ìgbẹ́kẹ̀lé tí AI dámọ̀ràn nípasẹ̀ èyí tí ewu lè fi wọ inú ohun èlò kan, nígbàkúgbà kí ènìyàn tó ṣe àtúnyẹ̀wò rẹ̀. Ó kọjá kódì àti ìgbẹ́kẹ̀lé àṣà láti fi àwọn fáìlì ìṣètò àti ìlànà tí ó ń ṣe àgbékalẹ̀ bí aṣojú AI ṣe ń hùwà hàn.
Báwo ni mo ṣe lè mọ̀ bóyá orúkọ package tí olùrànlọ́wọ́ AI mi dábàá jẹ́ àlámọ̀ tàbí ó jẹ́ ohun tí a kò mọ̀ dáadáa?
Ṣàyẹ̀wò kí o tó fi sori ẹrọ: ṣàyẹ̀wò ìforúkọsílẹ̀ náà kí o sì ṣàyẹ̀wò àkóónú àti èrò inú àpò náà gan-an dípò kí o gbẹ́kẹ̀lé orúkọ náà nìkan. Xygeni ń ṣe àtúnṣe ìfọwọ́sowọ́pọ̀ yìí ní àkókò gidi nígbà tí a bá ń ṣe kódì, nítorí náà a ti fọwọ́ sí tàbí dí ìfisẹ́pọ̀ kan kí ó tó ṣiṣẹ́, yálà àpò náà jẹ́ èyí tí o mọ̀ tàbí bẹ́ẹ̀ kọ́.
Ǹjẹ́ ìslúsí ara ẹni ní ipa lórí gbogbo àwọn àwòṣe AI bákan náà?
Ìwádìí tó wà lẹ́yìn 19.7% bo ọ̀pọ̀lọpọ̀ àwọn àpẹẹrẹ, ó sì rí i pé ọ̀ràn náà gbòòrò, pẹ̀lú ìyàtọ̀ díẹ̀ láàárín wọn. Èyí jẹ́ àpẹẹrẹ gbogbo ìdàgbàsókè tí AI ń rànlọ́wọ́, kì í ṣe àbùkù kan pàtó fún olùrànlọ́wọ́ kan.
Ṣé a lè ṣàyẹ̀wò lẹ́ẹ̀kejì bóyá a ti fi àpò ìríran tàbí ìkà sí i?
Bẹ́ẹ̀ni. Pẹpẹ Xygeni fún àwọn oníbàárà ní àǹfààní láti wo ibi ìpamọ́ data tí a ti ṣe àkójọpọ̀ àwọn ohun ìbàjẹ́ tí a rí, tí a lè wá kiri lórí àkójọpọ̀ ohun èlò tí o wà tẹ́lẹ̀, nítorí náà o lè jẹ́rìí ní ìtẹ̀ díẹ̀ bóyá ohunkóhun tí a ti fi sori ẹ̀rọ tẹ́lẹ̀ jẹ́ ewu tí a mọ̀.
Igba melo ni imuse naa gba fun agbari alabọde pẹlu ọpọlọpọ awọn ẹgbẹ?
Kíkópa nínú iṣẹ́ àkọ́kọ́ sábà máa ń gba nǹkan bíi wákàtí kan. Kíkópa nínú gbogbo ètò sábà máa ń gba ọ̀sẹ̀ kan sí méjì, ó sinmi lórí bí ẹgbẹ́ náà ṣe ṣètò àti bí wọ́n ṣe ń ṣiṣẹ́.
Ṣe àwòrán ojú ìkọlù AI rẹ, lọ́fẹ̀ẹ́
Ṣe àkójọ àmì ìtọ́kasí AI ti ohun èlò rẹ lọ́fẹ̀ẹ́: ṣẹ̀dá àkọọ́lẹ̀ kan kí o sì Ṣe àyẹ̀wò àkọ́kọ́ ní ìṣẹ́jú díẹ̀. Bẹ̀rẹ̀ pẹ̀lú ohun èlò kan ṣoṣo, wo ohun tí AI wà nínú rẹ̀, kí o sì wo apá tí ó léwu nínú ojú ìkọlù AI rẹ.
*Àwọn agbára kan tí a tọ́ka sí lókè yìí ni a fi agbára mú nípasẹ̀ Xygeni Shield àti ASPM/Awọn modulu Aabo AI; wiwa le yatọ si nipasẹ eto. Wo xygeni.io fun awọn alaye ọja lọwọlọwọ.
