Google verwacht door AI meer open source supplychain-aanvallen

In dit artikel:

Google waarschuwt dat AI de komende maanden en daarna zal bijdragen aan meer supplychain-aanvallen op opensourcesoftware. Aanvallers compromitteren packages op platforms als GitHub, npm en de Python Package Index (PyPI) en voegen malware toe. Ontwikkelaars die zulke packages installeren, kunnen daardoor hun inloggegevens, tokens en andere sleutels verliezen. Ook kunnen hun softwareprojecten besmet raken, waarna de malware zich verder verspreidt. Automatische updates vergroten de impact, omdat besmette versies snel bij veel gebruikers terechtkomen.

Volgens Google maakt AI aanvallen niet alleen efficiënter, maar vormt het ook een nieuw aanvalsoppervlak. Zo zijn er al malafide packages geweest die AI-agents misleidden om de besmette code aan projecten toe te voegen. Google adviseert ontwikkelaars en organisaties daarom onder meer minstens 24 uur te wachten met het installeren van nieuwe packages, Python-afhankelijkheden niet rechtstreeks uit het publieke PyPI te halen en alle gebruikte dependencies in kaart te brengen.