Skip to main content
AI & DevOps · Rantai pasok

Keamanan rantai pasok dan regulasi, secara berurutan

Artikel di situs ini tentang apa yang masuk ke build Anda dan apa yang kini dituntut hukum darinya, disusun menjadi satu jalur: paket beracun lebih dulu, lalu model dan dataset, lalu apa yang di-commit agent, kemudian regulasi yang punya tenggat.

Oleh Matthews WongDitinjau pada

Poin utama

Jalur ini dimulai dari signing, provenance, dan kebersihan dependensi, lalu serangan npm dan PyPI yang mengujinya, memperlakukan model dan dataset sebagai kode yang perlu ditandatangani dan dipindai, membahas secret dan kode buatan AI yang ditambahkan agent ke repositori, dan diakhiri dengan Cyber Resilience Act, EU AI Act, inisiatif standar agent dari NIST, serta, bagi tim di Indonesia, PP 33/2026.

Jalur bacaan · 23 artikel

Baca sesuai urutan ini

Setiap tahap dibangun di atas tahap sebelumnya. Jika sudah memahami suatu tahap, lewati saja; baris di bawah setiap judul menjelaskan apa yang ditambahkan artikel itu.

Tahap 1 / 4

Worm dan paket beracun

Fondasi build yang tepercaya, lalu serangan npm dan PyPI yang mengujinya.

  1. 01Security10 menit bacaKeamanan Rantai Pasok Software: SBOM dan SigstoreMengapa langkah ini: Fondasinya: buat SBOM, tandatangani artefak dengan Sigstore dan cosign, dan verifikasi provenance SLSA di CI.
  2. 02Web Dev9 menit bacaManajemen Dependensi npm dan Audit Keamanan: Yang Benar-benar Saya LakukanMengapa langkah ini: Kebiasaan sehari-hari: audit dependensi npm, kelola utang update, dan batasi paparan serangan supply chain.
  3. 03Security12 menit bacaSerangan Supply Chain LiteLLM: Dependency Cooldown PyPIMengapa langkah ini: Bagaimana dua rilis berbahaya sampai ke PyPI, dan kontrol cooldown, hash, serta publisher yang penting.
  4. 04Security12 menit bacaKompromi npm Tensorlake Shai-Hulud: Kunci Install ScriptMengapa langkah ini: Worm di sebuah SDK npm berjalan lewat preinstall hook; mengapa pencabutan token bisa berbalik merugikan dan cara memblokir install script.
  5. 05Security11 menit bacaSesi AI Coding Assistant yang Dibajak Menyebarkan Worm Shai-HuludMengapa langkah ini: Penyebaran worm ditelusuri ke sesi AI coding assistant yang dibajak, beserta langkah bagi pihak yang bertahan.
  6. 06Security12 menit bacaWorm npm dengan Provenance SLSA Valid: Pelajaran keyvMengapa langkah ini: Worm yang dirilis dengan provenance valid: apa yang dibuktikan provenance, apa yang tidak, dan gate rilis yang perlu ditambahkan.
  7. 07DevOps11 menit bacanpm Trusted Publishing: Expiry 48 Jam dan Larangan issue_commentMengapa langkah ini: npm kini mengakhiri konfigurasi trusted publishing yang tidak tervalidasi dan menolak token issue_comment; panduan migrasi rilis.
  8. 08Security12 menit bacaSlopsquatting 2026: Rate Halusinasi Package dan 127 NamaMengapa langkah ini: Model mengarang nama paket yang bisa didaftarkan penyerang; pemeriksaan keberadaan, umur, dan hash sebelum instalasi.
Panduan lapangan AI & DevOps

Lainnya dari panduan AI & DevOps

Jalur bacaan lain di bagian ini.