शोषक अब पैच को हराते हैं: एआई युग में ओपन सोर्स सुरक्षा - पैट्रिक स्िथ, चैनगार्ड
Original · Exploits Now Beat Patches: Open Source Security in the AI Era - Patrick Smyth, Chainguard
Key Takeaway
फ्रंटियर एआई युग में सॉफ्टवेयर सप्लाई चेन सुरक्षा का वातावरण पूरी तरह बदल चुका है, जहाँ हमलावर पैच जारी होने से पहले ही कमज़ोरियों का फायदा उठा रहे हैं और इसके लिए कड़ी सुरक्षा प्रणालियों तथा स्रोत-आधारित निर्माण की आवश्यकता है।
Highlights
जापान के एक 17 वर्षीय किशोर ने ChatGPT का उपयोग करके स्क्रिप्ट लिखीं और जापान के सबसे बड़े इंटरनेट कैफे से लगभग 44 लाख रिकॉर्ड चुरा लिए।
मैंडियंट की mTrends रिपोर्ट के अनुसार पैच आने से औसतन 7 दिन पहले सुरक्षा कमज़ोरियों का शोषण (एक्सप्लॉइट) हो जाता है।
अक्षयोस (Axios) नामक सप्लाई चेन हमला केवल दो घंटे के लिए लाइव रहा और इस दौरान उसके 6,00,000 डाउनलोड हुए।
अपस्ट्रीम रिपॉजिटरी पर मौजूद लगभग 5% एजेंट स्किल्स सक्रिय रूप से दुर्भावनापूर्ण हैं।
Timeline
आधुनिक सुरक्षा खतरे और एआई का प्रभाव
एआई के विकास के साथ ही साइबर हमलों की प्रकृति और पैमाना काफ़ी आक्रामक हो गया है। हमलावर स्वास्थ्य सेवा, सरकार और बड़े निगमों को निशाना बनाने के लिए क्लाउड कोड और स्वचालित उपकरणों का उपयोग कर रहे हैं।
- किशोरों और अज्ञात व्यक्तियों द्वारा एआई स्क्रिप्ट का उपयोग करके बड़े पैमाने पर डेटा चोरी और साइबर हमले किए जा रहे हैं।
- हमलावरों की क्षमता बढ़ जाने के कारण अब एक साधारण इंजीनियर भी एक टीम के रूप में कार्य करने में सक्षम हो गया है।
पैचिंग की पुरानी समयरेखा का समाप्त होना
ऐतिहासिक रूप से पैच आने में समय लगता था, लेकिन वर्तमान में एक्सप्लॉइट पैच से भी पहले सामने आ रहे हैं। Trivi स्कैनर और Axios जैसी घटनाओं ने यह साबित कर दिया है कि पारंपरिक सुरक्षा स्कैनर और लंबी समयरेखा अब प्रभावी नहीं हैं।
- पारंपरिक सुरक्षा प्रणालियों में कमज़ोरी मिलने के बाद सुधार के लिए समय मिलता था, जो अब अपर्याप्त साबित हो रहा है।
- विभिन्न मैलवेयर लहरें और वर्म जैसी प्र-णालियाँ सॉफ्टवेयर आपूर्ति श्रृंखला को लगातार प्रभावित कर रही हैं।
सॉफ्टवेयर आपूर्ति श्रृंखला की मूल समस्या और समाधान
सॉफ्टवेयर आपूर्ति श्रृंखला की मूल समस्या यह है कि उपयोगकर्ता बुनियादी ढांचे पर भरोसा करते हैं, जबकि upstream से आने वाला कोड संभावित रूप से जोखिम पैदा कर सकता है। इससे निपटने के लिए Salsa और Sigstore जैसे हस्ताक्षर तंत्रों का उपयोग किया जाना चाहिए।
- डिजिटल वातावरण उच्च विश्वास वाले नेटवर्क से अब एक प्रतिकूल और कम विश्वास वाले वातावरण में बदल चुका है।
- सुरक्षा को बेहतर बनाने के लिए कूल-डाउन अवधि अपनाने, कलाकृतियों पर हस्ताक्षर करने और परिचालन सुरक्षा मजबूत करने की आवश्यकता है।
ज्ञात और अज्ञात कमज़ोरियों से निपटना
पारंपरिक प्रणालियों में CVE को सुधारने में लंबा समय लगता है, जबकि चेनगार्ड शून्य-दिन और ज्ञात कमज़ोरियों से निपटने के लिए कड़े SLA और सुरक्षित लाइब्रेरी का उपयोग करता है। इसके अलावा, डेवलपर्स के लिए नए चेनगार्ड एक्शंस और एजेंट स्किल्स पेश किए गए हैं।
- अधिकांश कमज़ोरियां ऑपरेटिंग सिस्टम और भाषा रनटाइम जैसी परतों में होती हैं जो सीधे नियंत्रण में नहीं होतीं।
- चेनगार्ड न्यूनतम और रोलिंग डिस्ट्रो 'वॉल्की' के माध्यम से इन समस्याओं का समाधान प्रदान करता है।
Description
Frontier AI has made every attacker a level more dangerous, and on average, exploits now land before the patch. Patrick Smyth of Chainguard covers this year's AI-assisted attacks and supply chain malware waves, why 30-day remediation windows no longer hold up, the four attack surfaces to cover (malware, known CVEs, zero days and "side doors" like CI/CD, developer laptops and agent skills), and what to do now: cooldown periods, faster CVE fixes, and signing everything with SLSA and Sigstore. Chapters: 0:00 Intro 0:58 AI-powered attacks this year 2:33 Exploits now arrive before patches 3:45 Why 30-day remediation fails 4:59 A wave of supply chain malware 6:44 The eternal September 8:11 The core supply chain problem 9:12 What to do this year 11:19 Four attack surfaces 13:56 How Chainguard tackles each one 17:01 Sign everything: SLSA and Sigstore 19:16 Hardening agent skills 20:22 Wrap-up Patrick Smyth https://www.chainguard.dev Join us in SF for the second annual AIE CODE summit: https://aie.codes our last flagship summit of 2026. Applications live now!