在一项对照研究中， USENIX 安全 2025研究人员让 16 个大型语言模型生成了 576,000 个代码样本。这些模型推荐的开源软件包中，近五分之一并不存在：205,474 个完全虚构的软件包名称，完全凭空捏造。如果这是随机的，那倒也算是一件稀奇事。但事实并非如此。在重复的提示中，有 43% 的虚构名称反复出现。攻击者无需猜测编码助手会创造出什么，他们可以先观察、等待，然后注册这些名称。
这就是问题的核心所在。 人工智能供应链安全 在一项实验中，我们发现，加速软件开发的AI本身也成为了一个可预测、可利用的攻击入口。对于安全团队来说，问题不再是AI是否会触及软件供应链，而是能否看清AI在攻防两端的行动：编写代码的AI，以及防御系统的AI。 pipeline而攻击者则将人工智能指向了两者。
什么是人工智能供应链安全？
人工智能供应链安全是指保护软件供应链免受人工智能引入或放大的风险，以及利用人工智能来防御同一供应链的实践。它处于大多数安全方案仍各自独立处理的两大趋势的交汇点：人工智能生成的代码进入代码库，以及针对依赖项和构建的人工智能攻击。 pipeline以及围绕它的开发者工具。
传统应用安全关注的是已知组件中是否存在已知漏洞。而人工智能供应链安全则提出更尖锐、更紧迫的问题：人工智能代理刚刚安装的依赖项是否真实存在，还是仅仅是想象出来的？即使尚未找到相应的安全特征码，新发布的软件包是否存在恶意行为？软件开发生命周期中运行着哪些人工智能模型、代理和连接，它们又能访问哪些内容？
以代码实际交付的速度来回答这些问题，这就是整个学科的全部意义所在。
人工智能如何成为供应链攻击面
攻击者早已停止对人工智能的实验。他们现在将人工智能融入到直接针对代码及其依赖项的攻击行动中，而不仅仅是攻击收件箱。 login 页面。
非法占地：将人工智能发明的事物武器化
这项技术现在有了名字： 蹲坑该漏洞由 Python 软件基金会的安全开发人员 Seth Larson 于 2025 年 4 月提出。其机制简单而残酷。人工智能编码助手会定期建议一些并不存在的软件包名称。由于这些建议会重复出现，攻击者可以将这些虚构的名称注册为真实的恶意软件包，然后等待下一个开发者（或下一个自主代理）安装它。
先例已有记录。2023年，安全研究员 拉尼亚多酒吧 发布了一个空的占位符包，名称是模型经常产生幻觉的名称， 拥抱脸-cli短短三个月内，该恶意软件的下载量就超过了30,000万次，甚至连其中虚构的安装命令都出现在了某大型科技公司的公共代码库的README文件中。这还只是一次无害的测试。如今，同样的攻击策略，如果加上真实的有效载荷，就成了攻击者可以重复使用的商业模式。
自主编码代理通过移除最后一个人工检查点，使情况变得更糟。未经审查就安装依赖项的代理，消除了开发人员可能发现软件包存在问题的唯一机会。
工业规模的恶意包裹
随意占地只是更大变革中的一种策略。到2025年， 大规模恶意软件攻击活动 成为供应链攻击的基本操作模式，正如Xygeni的 2026 年应用安全攻击新趋势 攻击者采用了垃圾邮件经济学：成千发布恶意软件包，接受快速清除，并依赖概率而非持久性。公共注册表现在每年都会收录数十万个新的恶意软件包，即使是短暂的暴露窗口也会污染下游构建。
MCP：一种新型的、安全性较低的连接层
模型上下文协议 (MCP) 允许 AI 代理连接到各种工具和数据源。但它也带来了一个新的攻击面，而大多数扫描器从未检查过这个攻击面。恶意 MCP 服务器可以与合法服务器并存，任何拥有访问权限的代理都可以访问它们。 OWASP 于 2025 年发布了 MCP 十大安全漏洞排行榜 对这些风险进行分类，从快速注入和工具投毒到网络上任何代理都可以访问的未经身份验证的服务器。
人工智能生成的代码泄露秘密
根据 Check Point 外部风险管理公司（原 Check Point 外部风险管理公司）的数据，2025 年被盗用的凭证数量比 2024 年激增约 160%。 网络情报部分原因是受人工智能增强型网络钓鱼和信息窃取恶意软件的驱动。在软件环境中，这直接对应于人工智能生成代码中的硬编码密钥和令牌。一个已吸收了……的编码助手 .ENV 将文件放入其上下文中可以重现建议中的秘密，攻击者会扫描该模式。
人为因素也并未消失。IBM发布的《2025年数据泄露成本报告》发现，在涉及人工智能的数据泄露事件中，37%使用了人工智能生成的网络钓鱼攻击，35%使用了深度伪造冒充技术，这些技术越来越多地通过虚假招聘人员联系开发者和冒充维护人员账户来达到目的。
人工智能如何捍卫供应链
人工智能的危险之处恰恰在于它对防御者而言也同样有用。在供应链中，这种权衡在四个方面体现得最为明显。
在特征码出现之前检测到恶意软件
这是其关键优势。传统的扫描方式需要等待已知的恶意签名才能标记软件包，这种方式对于发布后数小时内就能获得数千次下载的攻击来说速度太慢。而基于行为的检测方式则会在软件包发布的第一时间对其进行评分：包括安装时的操作、网络调用、混淆模式和元数据异常。这堵住了域名抢注和拼写错误抢注攻击所依赖的漏洞。基于签名的检测器完全漏掉了 2025 年底发生的 Shai-Hulud 和 GlassWorm npm 攻击活动，这些攻击活动是预先存在的。cis案例行为分析旨在捕捉。
优先考虑可利用性而非数量。
人工智能对现代应用安全最实际的贡献并非在于发现更多问题，而在于过滤掉已发现问题中的噪音。可达性分析用于确定易受攻击的代码路径是否实际执行。可利用性评分则将真实攻击数据与原始 CVSS 评分进行比对。这两项技术结合起来，使团队能够专注于真正具有可利用风险的那部分发现，而不是手动处理成千上万条低信号警报。
异常检测 pipeline 水平
In Darktrace发布的《2026年人工智能网络安全状况调查》安全领导者认为，人工智能在威胁检测和异常发现（72%）方面发挥了最大的作用，其次是自动化响应（48%）和漏洞管理（47%）。 CI/CD这意味着要标记一个行为与以往任何安装脚本都截然不同的脚本。 pipeline或者，依赖项更新引入了意外的网络调用。
自动化、可审查的补救措施
除了发现和评估风险之外，人工智能现在还能生成修复方案：一个安全的、特定于框架的代码更改，以……的形式提交。 pull request 而不是让工单积压在待处理列表中。 IBM 研究发现，在安全运营中广泛应用人工智能和自动化技术的组织，其安全漏洞生命周期缩短至 204 天，而未采用这些技术的组织则为 284 天（速度提升约 80 天），同时平均每次漏洞事件可节省 1.9 万美元。仅仅检测到风险而不将其消除，只会将积压问题转移到其他地方；将人工智能风险分级与人工智能生成的修复方案相结合，才能真正实现闭环。
大多数团队尚未弥合的治理差距
令人不安的是，Darktrace 2026 年的调查发现，77% 的组织目前在其安全架构中运行生成式人工智能，但只有 37% 的组织制定了安全使用人工智能的正式政策。这一数字实际上比前一年的 45% 有所下降。人工智能的普及速度超过了治理速度，攻击者正在利用这一漏洞。
对于软件团队而言，这一点体现得尤为具体：AI 编码助手、代理和 MCP 连接已经在各个系统中运行。 SDLC他们往往无法集中了解自己访问了哪些资源或引入了哪些资源。大多数组织都能说出自己的云服务提供商，但很少有组织能说出开发人员机器可以访问的所有人工智能模型、代理和 MCP 服务器。这份清单，即人工智能物料清单 (AI-BOM)，是构建人工智能供应链安全的基础。没有清点过的东西，就无法保障安全。
应用安全团队现在应该做什么
此 平均数据泄露 预计到2025年，每台机器的成本将达到4.44万美元（IBM数据），而供应链正日益成为切入点之一。因此，切实可行的应对措施并非抽象地“采用人工智能”，而是一份简短而具体的清单：
- 清点一下你的电脑里正在运行哪些人工智能。 SDLC. 模型、代理、MCP 服务器和 AI 编码工具都是资产。首先要构建 AI 物料清单 (AI-BOM)。
- 对待人工智能生成的代码要像对待人类编写的代码一样。 能够编译的代码并不一定安全，它的依赖项也应该像其他任何内容一样接受审查。
- 通过行为而非特征码来检测恶意软件。 对于大批量、短期包裹营销活动而言，基于签名的扫描速度太慢。
- 按可利用性而非警报数量进行优先级排序。 人工智能的防御价值在于区分真正的风险和噪音，而不是制造更多的噪音。
- 实现修复自动化，而不仅仅是检测。 仅仅检测问题而不修复，只会把问题转移到其他地方。
人工智能供应链安全的发展方向
未来几年将出现两种趋势。首先，攻击不再随机，而是变得可预测且规模更大：占位攻击在早期阶段就能奏效。cis首先，人工智能产生的幻觉具有一致性，这意味着防御策略必须从一次性特征码识别转向可扩展的模式识别。其次，防御策略正在从“通知人工”转向“在提交工单之前识别、评分并做出响应”。那些在恶意软件发布时就发现其行为，而不是等到漏洞编号（CVE）发布才采取行动的组织，正在取得进展。
人工智能既是你面临的最新风险，也是你最好的防御手段，两者往往同时存在于同一个系统中。
人工智能同时发挥着双重作用。它为攻击者提供了可扩展的自动化工具，同时也赋予了防御者前所未有的大规模检测和响应能力。正是这种双重性使得人工智能供应链安全既不能作为事后补救措施，也不能被彻底禁止。
这就是差距 西吉尼 建造的目的是为了关闭。 恶意软件预警 (MEW) 持续监控公共和私有注册表，并在恶意软件包发布后立即检测到它们，甚至在任何签名出现之前，利用人工智能的判断，并由人类研究团队验证。 西吉尼 Shield 它将这种智能应用于开发者终端：在安装时阻止恶意软件包运行脚本，并对每台机器上的 AI 工具、代理和 MCP 服务器进行清点。它们共同针对本文所述的威胁而设计：域名抢注、拼写错误抢注、依赖关系混乱和维护者被攻破等。 沙伊胡鲁德 以及 GlassWorm 攻击类，基于特征码的工具未能检测到。结合基于可达性的优先级排序，AI-BOM 可以覆盖您的整个系统。 SDLC以及自动化拉取请求修复、AI 生成的代码和 人工智能攻击 在不减慢开发人员速度的前提下，获得同样的审查。
免费开始。 Xygeni 的开发者计划是 0 欧元：10 个存储库，每月 200 次扫描，最多 5 个贡献者，无需信用卡。 Sign up with GitHub使用 GitLab 或 Google，并在 10 分钟内运行您的首次扫描； Shield 终端安全保护功能即将加入开发者计划。
常见问题解答
什么是人工智能供应链安全？
AI 供应链安全保护软件供应链免受 AI 引入或放大的风险，例如虚假依赖、包含漏洞的 AI 生成代码和恶意 MCP 连接，同时利用 AI 通过基于行为的恶意软件检测、可利用性优先级排序和自动修复来保护它。
人工智能如何用于保护软件供应链？
人工智能能够实现基于特征码的工具无法比拟的防御：对新发布的软件包在出现时的行为进行评分，确定易受攻击的代码路径是否真的可访问，标记异常行为。 pipeline 活动，并生成特定于框架的修复程序 pull requests 而不是积压的工单。
为什么传统扫描仪无法检测到人工智能驱动的供应链攻击？
传统工具依赖于已知的签名和已发布的CVE编号，因此只能在软件包被识别为恶意软件包后才能对其进行标记。高流量、短生命周期的软件包攻击活动会在发布后数小时内（远在签名出现之前）就获得大量下载，因此需要基于行为的、签名出现前的检测方法。
什么是AI-BOM？它为什么重要？
人工智能物料清单 (AI-BOM) 是一份清单，列出了软件开发生命周期中运行的每个人工智能模型、代理和 MCP 连接。它至关重要，因为没有清单的资源无法得到保障，而且大多数组织无法集中了解开发人员的机器可以访问哪些人工智能资源。
