⚠️ Когда код пишет AI: защита цепочки поставок перестала умещаться в сканеры Начиная с Shai-Hulud — самовоспроизводящейся вредоносной кампании, распространявшейся через инструменты разработчика, — стало ясно: знать, что в коде, необходимо, но недостаточно. С появлением Model Context Protocol агенты сами подтягивают зависимости через инструменты, а промпты стали реальным вектором компрометации сборки. Теперь вопрос «откуда это взялось и можно ли этому доверять» надо задавать не только артефакту, но и модели, агенту и его инструментарию. Как пишет The Hacker News, Gartner в июне формализовал этот сдвиг, выпустив первый Magic Quadrant по Software Supply Chain Security — бюджетная строка наконец появилась. Традиционный подход «добавим сканер AI-кода в конвейер» лишь плодит алерты, не увеличивая реальную защиту. Отслеживание происхождения должно расширяться на модели и агенты, а приоритизация — опираться на достижимость во время выполнения, иначе очередь уязвимостей превращается в бесконечный список отложенных задач. В мире, где агент за обед генерирует тысячу строк кода и тянет зависимости, статический анализ без контекста выполнения — это самоуспокоение. Инвентаризация всех MCP-серверов и промптов, попадающих в конвейер, пока не стала стандартом, но именно там будет следующая SolarWinds-подобная атака. The Hacker News #supplychain #AI #MCP #SoftwareSupplyChain #AppSec