ስሎፕስኳቲንግ ምንድን ነው?

ስቶፕስስኩቲንግ ምንድን ነው? ጥቃት ነው በዚህ ውስጥ ተንኮል አዘል ተዋናዮች የ AI ኮድ አድራጊዎች የሚያልሙትን ትክክለኛ የጥቅል ስሞች የሚመዘግቡበት፣ ከዚያም እነዚያን ፓኬጆች በማልዌር የሚጭኑበት እና ገንቢ እስኪጭናቸው ድረስ የሚጠብቁበት። ይህ የጠርዝ ጉዳይ አይደለም። በቀረበው ጥናት ላይ በቀረበው USENIX Security 2025፣ በ576,000 የኮድ ናሙናዎች ውስጥ በAI ኮድ ሞዴሎች የተመከሩ 19.7% ፓኬጆች አልነበሩም፣ እና ተመራማሪዎች በተፈተኑት ሞዴሎች ውስጥ ከ205,000 በላይ ልዩ የሆኑ ቅዠት ስሞችን ዘግበዋል።

ስሎፕስኩዊቲንግ (slopsquatting) ምን እንደሆነ እና በተግባር ስሎፕስኩዊቲንግ ምን እንደሚመስል መረዳት አስፈላጊ ነው ምክንያቱም የAI ባህሪ ብቻ አይደለም። ስሎፕስኩዊቲንግ የAI ዘመን ተተኪ ነው። የፊደል አጻጻፍአንድ ወሳኝ ልዩነት አለው፡ የፊደል አጻጻፍ ስልት የሚወሰነው በሰው ልጅ የፊደል አጻጻፍ ስህተት ላይ ሲሆን፣ የፊደል አጻጻፍ ስልት ደግሞ በሞዴል ስህተት ላይ የተመሰረተ ሲሆን፣ አጥቂው በትልቅ ደረጃ እንዲጠቀምበት በሚያስችል መልኩ ተደጋግሞ መደረጉ ነው። ይህ መመሪያ slopsquatting ምን እንደሆነ፣ ከጥቅል ግምገማው በበለጠ ፍጥነት ለምን እንደሚሰራጭ፣ ምን አደጋዎችን እንደሚፈጥር እና ድርጅቶች ምርት ላይ ከመድረሱ በፊት እንዴት ሊያገኙት እና ሊከላከሉት እንደሚችሉ ያብራራል።

የስሎፕስኳቲንግ ትርጉም፡ ፍቺ #

የስሎፕስኳቲንግ ትርጉም፣ በይፋ፡- ትልቅ የቋንቋ ሞዴል የሚያስብለትን የጥቅል ስም የመመዝገብ ልማድ፣ ተቀባይነት ያለው የሚመስል ነገር ግን በማንኛውም የህዝብ መዝገብ ቤት ውስጥ የሌለ የፈጠራ ስም እና በተንኮል አዘል ኮድ የመጫን ልምምድ አንድ እውነተኛ ገንቢ በAI ጥቆማ መሰረት ከመጫኑ በፊት.

ቃሉ የፊደል አጻጻፍን (እውነተኛ ስምን በተለመደው የተሳሳተ የፊደል አጻጻፍ ማስመሰል) ወደ ልዩ የጄኔሬቲቭ AI ውድቀት ሁነታ ያራዝማል። የፊደል አጻጻፍ የሰውን የፊደል አጻጻፍ ሲበዘብዝ፣ slopsquatting አንድን ይጠቀማል። የAI ሞዴል ቅዠትn፦ የኮድ ረዳት ቀድሞ ያልነበረ ፓኬጅ የpip install ወይም npm install ን ይመክራል፣ እና ተመሳሳይ የፈጠራ ስም በጥያቄዎች ላይ ሲደጋገም ያስተዋለ አጥቂ መጀመሪያ ይመዘግበዋል።

የስሎፕስኳትቲንግ ትርጉም፣ በተግባራዊ አነጋገር፣ ይህ ነው፡ የአንድን ሞዴል ስህተት ወደ ሥራ ብዝበዛ የሚቀይር የአቅርቦት ሰንሰለት ጥቃት፣ የAI ሀሳብን ከማመን ያለፈ የሰው ስህተት አያስፈልግም። ቲዎሪቲካል አይደለም። በ2023 እንደ ቀላል ሙከራ የተተከለ አንድ ቅዠት ፓኬጅ በሦስት ወራት ውስጥ ከ30,000 በላይ ውርዶችን ያለ ምንም ማስተዋወቂያ አስገኝቷል እና ይህንን ትክክለኛ ንድፍ የሚጠቀሙ ተንኮል አዘል ተለዋጮች ዛሬ በይፋዊ መዝገቦች ውስጥ እንደሚገኙ አረጋግጧል።

ስሎፕስኩዊቲንግ እና ታይፖስኳቲንግ፡ ልዩነቱ ምንድን ነው? #

ስሎፕስኩዊቲንግ እና የፊደል አጻጻፍ ስልት ተመሳሳይ ውጤት አላቸው (አንድ ገንቢ ተንኮል አዘል ፓኬጅን የሚጭነው ህጋዊ ነው ብሎ በማመን ነው)፣ ነገር ግን የስህተቱ ምንጭ ፈጽሞ የተለየ ነው።

የፊደል አጻጻፍ ስልት የሚወሰነው በሰው የፊደል አጻጻፍ ስህተት ላይ ነው፡- ገንቢ ጥያቄዎችን መተየብ እና በምትኩ የሚጠየቁትን መተየብ ማለት ሲሆን፣ የተሳሳተ የፊደል አጻጻፍ ስም የተመዘገበ አጥቂ ደግሞ እየጠበቀ ነው። አደጋው ከአንድ ገንቢ የቁልፍ ምት ጋር የተያያዘ ነው፣ ይህም የአንድ ጊዜ ትኩረት ማጣት ነው።

ስሎፕስኩዊቲንግ የሰውን ስህተት ሙሉ በሙሉ ያስወግዳል እና ተመሳሳይ ጥያቄ በተቀበለ እያንዳንዱ ገንቢ ላይ በሚደገም የሞዴል ስህተት ይተካዋል። የክትትል ትንተና እንደሚያሳየው ተመራማሪዎች ተመሳሳይ ጥያቄዎችን እያንዳንዳቸው አስር ጊዜ እንደገና ሲያስኬዱ፣ 43% የሚሆኑ የቅዠት ፓኬጅ ስሞች በእያንዳንዱ ሩጫ ላይ ይታያሉ፣ እና 58% ከአንድ ጊዜ በላይ ተደጋግመዋል። ይህ ድግግሞሽ ስሎፕስኩዊንግን ሊበዘብዝ የሚችል የሚያደርገው ነው፡ አጥቂ የፊደል አጻጻፍ መገመት አያስፈልገውም። አንድ ሞዴል የትኛውን የቅዠት ስም እንደሚደግም ማየት እና እውነተኛ ገንቢ ከማድረጋቸው በፊት መመዝገብ ብቻ ያስፈልጋቸዋል።

ትልቁ ልዩነት ሚዛን ነው። የፊደል አጻጻፍ ፓኬጅ የትየባ አደጋን ይጠብቃል። ተንሸራታች ፓኬጅ ወደሚቀጥለው ገንቢ፣ ከዚያ በኋላ እና ከዚያ በኋላ ያለው፣ በእያንዳንዱ ድርጅት ተመሳሳይ ሞዴል በመጠቀም ተመሳሳይ AI-የመነጨ ምክረ ሀሳብን ይጠብቃል።

ስሎፕስኩዊቲንግ ለምን ይስፋፋል? #

ስሎፕስኩዊቲንግ (ስሎፕስኩዊቲንግ) የፊደል አጻጻፍ ስልት ሁልጊዜም በሚፈጥረው ተመሳሳይ ምክንያት እየተስፋፋ ነው፡ አጥቂዎች ገንቢዎች በነባሪነት የሚያምኑበትን ሊገመት የሚችል ንድፍ ይጠቀማሉ። አዲሱ ነገር የመተማመን መጠኑ ነው።

በAI-የታገዘ የኮድ አወጣጥ መጨመር, ራስን የሚቋቋሙ ወኪሎች እና "የቪብ ኮዲንግ" የስራ ፍሰቶች፣ ገንቢዎች ኮዱን ከማስኬዳቸው በፊት አነስተኛ እና ያነሰ የሚገመግሙበት፣ የሶፍትዌር ጥቃትን ገጽታ በሁለት ተጨባጭ መንገዶች ቀይረውታል፡

የመግቢያ ነጥቡ ከአሁን በኋላ ገንቢው ብቻ አይደለም። የፊደል አጻጻፍ ጥቃት የሚወሰነው በአንድ ሰው የፊደል አጻጻፍ ስህተት ላይ ነው። ስሎፕስኳቲንግ በራሱ ሞዴል ውስጥ ሊጀምር እና ተመሳሳይ ጥያቄዎችን ለሚጠይቁ በመቶዎች የሚቆጠሩ የተለያዩ ገንቢዎች ሊሰራጭ እና ተመሳሳይ የቅዠት ምክር ሊቀበል ይችላል፣ ይህም የአንድ ጥቃት ተደራሽነትን ያባዛል።

የጥቃቱ ወለል ወደ ሰንሰለቱ የበለጠ ተሻሽሏል። አንድ ሰው የሚጽፈውን ኮድ መገምገም ከእንግዲህ በቂ አይደለም። ቡድኖች የ AI ረዳት የሚጠቁመውን ጥገኝነት፣ የሚያገናኘውን የኤምሲፒ አገልጋዮችን እና ፓኬጆችን ያለ ቀጥተኛ የሰው ግምገማ በራስ-ሰር የሚጭኑ ወኪሎችን መመልከት አለባቸው። ባህላዊ AppSec፣ ማከማቻዎችን እና የሰውን ለመገምገም የተገነባ commits፣ በገንቢ፣ በAI እና በፓኬጅ መዝገብ ቤት መካከል ያለውን አዲስ መስተጋብር ለመመልከት በጭራሽ የተነደፈ አልነበረም፣ ይህም slopsquatting የሚደበቅበት በትክክል ነው።

የስሎፕስኩዊቲንግ አደጋዎች #

ስሎፕስኩዊንግ እርስ በርስ የሚደጋገፉ የተለያዩ ገጽታዎችን አደጋ ይፈጥራል፣ እና አዝማሚያው እየተባባሰ ከመሄድ ይልቅ እየተፋጠነ ነው።

• ተደጋጋሚ ብዝበዛ። በቅዠት የተፈጠሩ ስሞች በዘፈቀደ ስላልሆኑ፣ ተመሳሳይ የውሸት ስም በክፍለ-ጊዜዎች እና ሞዴሎች ላይ በሚጠበቀው ሁኔታ እንደገና ይታያል። አጥቂዎች መገመት አያስፈልጋቸውም፤ የሞዴል ባህሪን መከታተል እና የሚደጋገሙ ስሞችን መመዝገብ ብቻ ነው የሚያስፈልጋቸው፣ የአንድ ጊዜ ቅዠትን ወደ ሊሰፋ የሚችል እና ሊደገም የሚችል ጥቃት መቀየር።
• ወኪል ስርጭት። ስሎፕስኳቲንግ ከአሁን በኋላ በገንቢው የተጠቆመ የመጫኛ ትዕዛዝን በመገልበጥ ብቻ የተወሰነ አይደለም። በጥር 2026 ተመራማሪዎች የAI ኮድ አድራጊዎች አስቀድመው በ237 ማከማቻዎች ላይ በቅዠት የተሰራ የnpm ጥቅልን የሚያመለክቱ መመሪያዎችን እንዳሰራጩ ደርሰውበታል፣ ወኪሎች አሁንም በየቀኑ ለመጫን እየሞከሩ ነው፣ ስህተቱን የሚይዝ ሰው የለም።
• የስም ተመሳሳይነት መሸሽ። በግምት 38% የሚሆኑት በቅዠት የተፈጠሩ ስሞች ከእውነተኛ ፓኬጆች ጋር በጣም ይመሳሰላሉ፣ ይህም ገንቢው ምትክን በጨረፍታ የማየት እድላቸውን ይቀንሳል። አንድን ቁምፊ ከታመነ ጥገኝነት የሚያርቅ ተንኮል አዘል ፓኬጅ አጠራጣሪ አይመስልም፤ እራስዎ የሚያደርጉት የፊደል አጻጻፍ ይመስላል።
• ከተለየ በኋላ የማያቋርጥ መጋለጥ። ሕጋዊ የሆነውን የESLint ተሰኪ የተካ በቅዠት የተሰራ ፓኬጅ መዝገቡ በደህንነት እገዳ ስር ካስቀመጠ በኋላም ቢሆን በየሳምንቱ የሚወርዱ ፋይሎችን እየመዘገበ ነበር፣ ይህም የslopsquatted ፓኬጅን መጠቆም ወዲያውኑ እንዳይጫን እንደማያግደው የሚያሳይ ማስረጃ ነው።

ስሎፕስኩዊቲንግ የሚደበቅበት ቦታ #

ስኪፕ ስኳት ለመያዝ በጣም አስቸጋሪው ነገር በሚከሰትበት ጊዜ እንደ ጥቃት አለመምሰል ነው፤ መደበኛ የpip installation ወይም npm install በተሳካ ሁኔታ የተጠናቀቀ ይመስላል፣ ምክንያቱም አጥቂው አንዴ ካስመዘገበው በኋላ ፓኬጁ በእውነት ይኖራል።

ስሎፕስኩዊቲንግ በተለምዶ በሚከተሉት መንገዶች ይገባል፦

• የAI ኮድ አድራጊዎች እና ተባባሪ አብራሪዎች። የመጀመሪያው ሀሳብ፣ ከሕጋዊ፣ የስራ ኮድ ጋር የቀረበ የፈጠራ የጥቅል ስም፣ ተጋላጭነቱ የሚመነጨው እዚህ ላይ ነው። በዙሪያው ስላለው ኮድ ምንም ነገር ስህተት አይመስልም፣ ምክንያቱም ብዙውን ጊዜ አይደለም፤ ጥገኝነቱ ብቻ የውሸት ነው።
• ራስን የሚገዙ የኮድ ወኪሎች። ያለ ሰው ግምገማ ጥገኛዎችን የሚጭኑ ወኪሎች የስራ ፍሰቶች አንድ የፍተሻ ነጥብ፣ ስም ለማረጋገጥ የሚቆም ገንቢ፣ አለበለዚያ አንድ ፕሮጀክት ላይ ከመድረሱ በፊት በቅዠት የተሞላ ፓኬጅ የሚይዝ።
• የማረጋገጫ እርምጃ የሌላቸው የጥቅል አስተዳዳሪዎች። የpip install ወይም npm install የታለመው ፓኬጅ ሲኖር እና ተንኮል አዘል ሲሆን ስህተት አይፈጥርም። ጭነቱ በተለምዶ የሚጠናቀቀው ከጥቅል አስተዳዳሪው እይታ አንጻር ምንም ስህተት ስላልተፈጠረ ነው።

ስሎፕስኳቲንግ እንዴት ማግኘት እና መከላከል እንደሚቻል #

የድብርት ስኩዊትን መከላከል እንግዳ የሆኑ መሳሪያዎችን መጠቀም አያስፈልገውም። የጥገኝነት ንፅህና አጠባበቅ ልምዶችን በስርዓት መተግበርን ይጠይቃል፣ ይህም የአዕምሮ ጤና ባለሙያ ኮዱን "እንደጠቆመ" በሚጠቁምበት ጊዜ ዘና ከማለት ይልቅ።

ከመጫንዎ በፊት ማንኛውንም አዲስ ፓኬጅ ያረጋግጡበተለይም በAI ረዳት የተጠቆመ። በይፋዊ መዝገብ ውስጥ መኖሩን፣ ማን እንደሚያስቀምጠው፣ መቼ እንደታተመ እና የማውረጃ ቁጥሮቹ እውነተኛ መሆናቸውን ያረጋግጡ።

በAI የተፈጠረ ኮድ በነባሪነት ደህንነቱ የተጠበቀ ነው ብለህ አታስብ"የሚሰራ" ኮድ ጥገኞቹ ህጋዊ ናቸው ማለት አይደለም። የጥገኝነት ግምገማ የኮድ ግምገማ አካል መሆን አለበት፣ ለእሱ የተለየ መሆን የለበትም።

ከሚታወቁ CVEዎች ባሻገር የአደጋ ቅጦችን የሚጠቁም የጥገኝነት ቅኝት ያሰማሩ፡ ያልተለመዱ ፓኬጆች፣ ከነባር ፓኬጆች ጋር በጥርጣሬ የሚመሳሰሉ ስሞች፣ ምንም አይነት የትራክ ሪከርድ የሌላቸው አዳዲስ አስተናጋጅዎች፣ ወይም ያልተለመደ ባህሪ ያላቸው ስክሪፕቶችን ይጫኑ።

AI-SPMን እንደ የአስተዳደር ንብርብር ይተግብሩ። የAI ደህንነት የአቋም አስተዳደር (AI Security Posture Management) እንዲህ ዓይነቱን በAI-የተጀመረ ስጋትን በስፋት ለመያዝ የተነደፈ አሰራር ሲሆን፣ በAI-የተጠቆሙ ጥገኝነቶችን ያለማቋረጥ በማግኘት እና አንድ ሰው በእጅ መፈተሽ ከማስፈለጉ በፊት እነሱን ለመመዘን የተነደፈ ነው።

በ Xygeni ስሎፕስኩዊቲንግ መከላከል #

ስሎፕስኩዊቲንግ በገንቢዎች ንቃት ብቻ መከላከል አይቻልም። “እያንዳንዱን በAI የተጠቆመ ፓኬጅ ያረጋግጡ” የሚል ፖሊሲ ማንኛውም የሰው ልጅ የግምገማ ሂደት ከሚከተለው በላይ የጥገኝነት ጥቆማዎች በፍጥነት በሚደርሱበት ድርጅት ውስጥ አይስፋፋም።

የዚጄኒ አካሄድ ይህንን እንደ ቀጣይነት ያለው የመለየት ችግር አድርጎ ይመለከተዋል፡ የAI ኢንቬንተሪ እና የኤአይ ቦም እያንዳንዱን የ AI-የተዋወቀ ገጽ በመላው ላይ ጥገኛነት SDLC, ለቡድኖች የ AI ረዳት ምን እንደጠቆመ እና እንደጫነ የሚያሳይ ሕያው መዝገብ ይሰጣል። Shield, የተጎላበተው MEW (የማልዌር ቅድመ ማስጠንቀቂያ), ፊርማ ከመኖሩ በፊት ተንኮል አዘል ፓኬጆችን (የተዘበራረቁ ጥቅሎችን ጨምሮ) ፈልጎ ያግዳል፣ ይህም ፊርማ ላይ የተመሰረቱ ስካነሮች ክፍት የሚተዉትን ትክክለኛ ክፍተት ይዘጋል።

ቡድኖችዎ የAI ኮድ አጋሮችን የሚጠቀሙ ከሆነ፣ የተንሸራታች ስኩዊቲንግ ችግር አስቀድሞ አለ። ጥያቄው የሚቀጥለው ቅዠት ስም ከመጫኑ በፊት ይያዛል ወይ የሚለው ነው።

በየጥ #