AI asistenti zrychlují vývoj. Kontrola softwarových závislostí za nimi zaostává

AI asistent dokáže při psaní kódu navrhnout i přidat externí balíček, knihovnu nebo kontejnerový obraz. Pro vývojáře je to rychlé; pro bezpečnostní tým je každá další komponenta položkou, u níž je potřeba prověřit původ, zranitelnosti a vazby na další závislosti. Pokud komponenty přibývají rychleji, než je lze zkontrolovat, roste prostor pro podvržené balíčky i kompromitované závislosti. 17

Proč nestačí dosavadní schvalování

Podle bezpečnostního ředitele společnosti Chainguard Quincyho Castra se tempo téměř okamžitého generování kódu míjí s tradičním postupem: vývojář požádá o novou závislost, někdo ji posoudí a teprve pak schválí. Lidská schvalovací fronta se stává úzkým hrdlem, zatímco nové závislosti mohou dál přibývat. 17

Červnová zpráva Chainguardu z roku 2026 ukazuje, proč nestačí hlídat jen nejznámější komponenty. V jeho analyzovaném vzorku se 97 % zaznamenaných výskytů zranitelností nacházelo mimo dvacítku nejpoužívanějších projektů. To neznamená, že je zranitelných 97 % projektů: číslo vyjadřuje rozložení nalezených výskytů. Upozorňuje na méně viditelný „dlouhý chvost“ závislostí, který by kontrola zaměřená pouze na nejpopulárnější projekty minula.

Podvrh může být nenápadný. Popularita ale také není záruka

Útočník může vytvořit škodlivou odnož legitimního projektu, která vypadá důvěryhodně, a doufat, že ji vybere vývojář nebo AI asistent. Opačnou stránku téhož problému ukázal útok na Trivy v březnu 2026: útočníci kompromitovali distribuci tohoto široce používaného nástroje pro vyhledávání zranitelností přes GitHub Actions a zasažené automatizované postupy jim umožnily získávat přístupové údaje. Potenciální dopad se týkal tisíců organizací. Ani známý název tedy sám o sobě nezaručuje bezpečný původ komponenty. 17

Co chce prověřit Indiana University

Podobnou otázku důvěry řeší i vědecké týmy využívající otevřené AI nástroje a modely. Výzkumníci z Indiana University získali od americké Národní vědecké nadace (NSF) grant 1,18 milionu dolarů. Chtějí posuzovat bezpečnostní rizika těchto nástrojů používaných ve výzkumu a pomáhat uživatelům rozpoznat bezpečnější možnosti. 6

V souvislosti s výzkumným výpočetním zázemím univerzita uvádí cloudovou infrastrukturu Jetstream2 podporovanou NSF. Dostupný popis projektu však neupřesňuje konkrétní metodu hodnocení jednotlivých modelů ani neslibuje, že doporučené alternativy budou bez rizika. 62