ZIP-файлы, пересылаемые между коллегами и содержащие новые навыки агентов, локально разработанные MCP-серверы, передаваемые между разработчиками, и хранящиеся локально свежесозданные агенты — все это на вид безобидные файлы, которые часто используются в корпоративных средах разработки программного обеспечения.
К сожалению, эти локально хранящиеся файлы далеко не безобидны: они могут содержать ИИ-компоненты, которые никогда не обнаруживались и не регистрировались как одобренный артефакт в ваших приложениях.
Такие навыки мы называем «Shadow AI» (скрытым ИИ), и зачастую они находятся на личных рабочих станциях разработчиков, которые нередко не управляются централизованными средствами контроля. Хорошая новость заключается в том, что теперь вы можете обнаруживать «локальный Shadow AI». Развернув JFrog AI Security, вы можете распространить обнаружение Shadow AI из репозиториев на ноутбуки и рабочие станции, где эти агенты кодирования действительно запускаются и где выполняется работа. Давайте разберем это подробнее.
Нерегулируемые исполняемые файлы: как ИИ-компоненты обходят средства защиты
До недавнего времени создание ПО следовало строгому и безопасному процессу: утвержденный код и инструменты поступают из доверенных официальных источников, проверяются на уязвимости и должны соответствовать корпоративным политикам безопасности, прежде чем кто-либо сможет их использовать.
В сегодняшнюю «эру ИИ» вы больше не можете полагаться на этот традиционный процесс в отношении ИИ-компонентов. Поскольку инструменты ИИ и разработчики могут мгновенно внедрять непроверенные файлы, скрипты и плагины по запросу — зачастую прямо из GitHub, тредов Slack или даже сгенерированные самим агентом, — эти компоненты полностью обходят стандартные проверки безопасности. Это превращает контролируемый, прогнозируемый рабочий процесс в нечто мгновенное, случайное и неконтролируемое.
Некоторые примеры включают:
- Навыки (Skills): наборы инструкций и скриптов, которые определяют, как агент выполняет задачу.
- MCP-серверы: серверы Model Context Protocol, соединители, которые позволяют агентам взаимодействовать с такими системами, как базы данных, Jira или Slack.
- Плагины: устанавливаемые пакеты, объединяющие навыки, MCP-серверы и многое другое.
Все эти непроверенные компоненты представляют серьезную потенциальную угрозу безопасности. Пожалуй, лучше всего это иллюстрируют Хуки (Hooks), авторы которых единолично решают, что и на какой машине запускается при каждом вызове агента — без каких-либо консультаций с остальной частью команды.
По сути, мы получаем два пути: управляемый путь, где активы сканируются и проверяются, и локальный путь, где компоненты Shadow AI остаются незамеченными.
Два пути для ИИ-компонентов: один контролируется JFrog, другой — без каких-либо барьеров и проверок
Безопасность за пределами репозитория: защита рабочих станций разработчиков
Ранее JFrog AI Security обнаруживала Shadow AI в вашей цепочке поставок программного обеспечения путем сканирования моделей ИИ в репозиториях JFrog Artifactory и вызовов внешних ИИ-сервисов в ваших сборках. Это создало базовый уровень для того, что мы обнаруживаем на управляемом пути вашей цепочки поставок ПО, и это работало довольно хорошо до недавнего времени.
Shadow AI сложнее обнаружить, чем сторонний код и пакеты с открытым исходным кодом, которые попадают в среду разработки через хорошо отлаженный процесс централизованной сборки и не хранятся на локальных машинах.
Ранее основные риски на машинах разработчиков были связаны с расширениями или инструментами, над которыми DevOps имели полный контроль. Риск сегодня заключается в том, что вредоносные или не соответствующие требованиям ИИ-компоненты, используемые агентами кодирования, представляют собой новый тип рисков, возникающих автономно, без видимости или контроля над ноутбуками и рабочими станциями разработчиков. Это требует дополнительного уровня защиты, который прозрачно обнаруживает Shadow AI на локальных машинах, не влияя на производительность разработчиков.
В дополнение к обнаружению ИИ-компонентов на машинах разработчиков, JFrog AI Security также предоставляет службам безопасности и администраторам платформ важную информацию о потенциальных угрозах, в том числе:
- Каковы риски? Навык, который может запускать команды оболочки (shell), несет гораздо больший риск, чем тот, который может только читать файлы.
- Разрешено ли это политикой организации? GitHub MCP-сервер на ноутбуке может быть приемлемым, если он соответствует тому, который вы утвердили, но становится проблемой, если кто-то собрал его из случайного репозитория. JFrog планирует добавить эту функцию в будущих релизах.
Вот как это работает на практике:
Обнаружение включается путем установки плагина JFrog Agent Plugin на каждую рабочую станцию разработчика и работает в три этапа:
- Обнаружение (Discover). Выявляет потенциально рискованные навыки, MCP-серверы, плагины, хуки, команды и мониторы.
- Локальное сканирование (Scan Locally). Запускает легкое детерминированное сканирование на основе правил на каждой рабочей станции, где установлен плагин, разработанное так, чтобы один и тот же ввод всегда давал одинаковый результат.
- Отчетность (Report). Отправляет метаданные, идентификационные данные компонентов, результаты проверок и анализ рисков на платформу JFrog Platform.
Как компоненты Shadow AI на рабочих станциях разработчиков становятся видимыми
Централизованный обзор управляемых и неуправляемых ИИ-компонентов
JFrog AI Security преобразует подробные отчеты об ИИ-компонентах в единый инвентарный список. Каждая запись содержит имя актива, тип, обертку (harness), которая сообщила о нем (Claude Code, Cursor и т.д.), количество рабочих станций, где он был обнаружен, локальный анализ рисков, происхождение в JFrog и временную метку обнаружения.
Два ключевых показателя помогают расставить приоритеты среди потенциальных угроз, требующих внимания:
Оценка рисков (Risk Assessment) показывает лежащие в основе результаты проверки безопасности для каждого уровня при выборе:
- Доступ к оболочке + WebFetch (Shell Access + WebFetch): высокий риск утечки данных.
- Запись/редактирование без ограничений (Unscoped Write/Edit): изменение файлов за пределами назначенных каталогов.
- Режим BypassPermissions (BypassPermissions Mode): выполнение действий без обязательного одобрения.
Происхождение (Origin) документирует, существует ли компонент на платформе JFrog Platform:
- JFrog Artifactory или JFrog Catalog: выбранный актив совпадает с активом, которым уже управляет JFrog Platform.
- Нет совпадений (No Match): актив не совпадает ни с одним активом, управляемым на вашей платформе JFrog Platform.
Получите полный контроль над своими ИИ-компонентами
Ваши разработчики могут уже использовать ИИ-компоненты, которые не прошли проверку или не были одобрены. Обнаружение Shadow AI на рабочих станциях поможет вам понять серьезность и риски, связанные с каждым неуправляемым ИИ-компонентом.
JFrog AI Security гарантирует, что управляемые и неуправляемые ИИ-компоненты подчиняются тем же правилам, что и любой другой поставляемый вами артефакт: одна единая цепочка поставок, одна система учета без каких-либо исключений для Shadow AI.
Убедитесь в эффективности обнаружения и контроля Shadow AI на практике: закажите демоверсию JFrog AI Security.
Эта запись в блоге предоставляется исключительно в информационных целях. Она не является юридической, нормативной или консультацией по безопасности и не гарантирует никаких результатов в области безопасности. Она отражает информацию, доступную на дату публикации, указанную в верхней части этой статьи, и может не обновляться. Результаты зависят от вашей среды, ситуации и конфигурации. Возможности продуктов различаются в зависимости от редакции и модели развертывания и регулируются вашим соглашением с JFrog. JFrog является зарегистрированным товарным знаком JFrog Ltd. в США. Все остальные товарные знаки, упомянутые в этом документе, являются собственностью их соответствующих владельцев.
