Следващия път, когато асистент с изкуствен интелект препоръча инсталирането на пакет, ще проверите ли дали той действително съществува? Повечето разработчици не го правят. Тази празнина между предложението и проверката е мястото, където започват атаките тип „небрежно използване“ (slopsquatting), и за по-малко от три години заплахата еволюира от доказателство за концепция на изследовател до дистанционно изпълнение на код в автономни кодиращи агенти. Тази статия проследява еволюцията на „небрежното използване“ и какво означава всеки етап за екипите на AppSec и DevSecOps.
Нови сте тук? Започнете с нашето въведение Какво е небрежно клекнане и как да се предпазим от него, след което се върнете за времевата линия.
Небрежна атака в един параграф
Атака с клекнало положение регистрира зловреден пакет под име, което моделите на изкуствен интелект предвидимо халюцинират. Където типосквотингът използва човешка печатна грешка заявки за искания, небрежното използване на модела използва самия модел, като измисля правдоподобно име, което не съществува в нито един регистър, след което нападател претендира за точното име, преди някой легитимен да го направи. Терминът е въведен от Сет Ларсън, разработчик по сигурността в Python Software Foundation, и популяризиран от Андрю Несбит. Това, което прави модела заслужаващ проследяване, е колко бързо се е развил.
Еволюция на небрежното клякане
2023: първият предупредителен знак
Изследователят по сигурност Бар Ланядо забеляза, че няколко магистри по право продължават да препоръчват пакет, наречен прегръщащо лице-кли, който не съществува (истинският инструмент се инсталира с pip инсталиране -U „huggingface_hub[cli]“). За да демонстрира риска, той качи празен пакет под това халюцинирано име. В рамките на три месеца той беше свален повече от 30 000 пъти, без никаква реклама, а фалшивото име дори се появи в README файла на хранилище, свързано с изследвания на голяма технологична компания. Пакетът беше безвреден. Поуката не беше: халюцинираното име трябва само да е достатъчно последователно, за да може някой да го използва като оръжие.
2024: от публикация в блог до масово отразяване
През март 2024 г. The Register съобщи за модели с изкуствен интелект, уверено измислящи имена на софтуерни пакети, които разработчиците след това изтегляли, някои от които потенциално били заразени със зловреден софтуер. Отразяването имаше по-малко значение заради това, което разкриваше технически, отколкото заради това, което сигнализираше: прегръщащо лице-кли вече не беше еднократно любопитство, а първият признак на достатъчно сериозна тенденция, която масовата технологична преса да отбележи, преди мащабното проучване, което щеше да потвърди обхвата му година по-късно.
2025: първото строго измерване
Докладът на USENIX Security 2025 „Имаме пакет за вас!“ (Spracklen et al.) тества 16 модела за генериране на код, търговски и с отворен код, върху 576 000 Python и JavaScript примера. Той премести небрежността от анекдот към данни:
- 19.7% от препоръчаните пакети не съществуваха.
- Моделите с отворен код халюцинираха много по-често (средно 21.7%) от комерсиалните (5.2%).
- Най-лошите нарушители, CodeLlama 7B и 34B, халюцинираха в повече от една трета от изходните си сигнали.
- Във всички модели, изследователите са регистрирали над 205 000 уникални халюцинирани имена, набор от данни, достатъчно голям, за да подхранва устойчиви кампании в различни екосистеми.
Проучването също така категоризира как се формират фалшификатите: 38% са били смесване на две истински имена на пакети (точно моделът, който по-късно е довел до реагиране-кодово изместване от jscodeshift намлява реагиране-кодмод), 13% са били варианти с печатни грешки на реални пакети, а 51% са били чисти измислици, които са правдоподобни, но изцяло измислени. Първата група е от най-голямо значение за защитата, защото име, съшито от два реални инструмента, е най-трудно за разпознаване с един поглед.
Най-важното откритие за нападателите: халюцинациите не са случайни и не се променят при всеки опит. Когато изследователите повторно пускали идентични подкани по десет пъти всяко, 43% от халюцинираните имена се появявали при всяко едно пускане, а 58% се повтаряли повече от веднъж. Нападателят не е нужно да гадае. Той наблюдава моделното поведение, отбелязва имената, които се повтарят, и ги регистрира първи. Тази повторяемост е това, което превръща еднократната халюцинация в мащабируема атака.
2026: от изолирани пакети до автономни агенти
Тази година предостави най-ясните доказателства досега, че небрежното поведение вече не се ограничава само до копиране и поставяне на предложено от разработчика... npm инсталиране.
През януари 2026 г. изследователят по сигурността Чарли Ериксен откри халюциниран npm пакет, реагиране-кодово изместване, че генерираните от изкуствен интелект инструкции за агенти вече са се разпространили в 237 хранилища чрез форкове, като агентите все още се опитват да го инсталират ежедневно. Той произхожда от едно единствено commit от файлове с умения на агенти, написани от изкуствен интелект, които никой човек не беше прегледал. Ериксен сам регистрира името, защитно, преди нападателят да успее да го използва като оръжие.
Отделно, наистина злонамерен пакет с име неизползвани импорти, халюциниран вместо легитимното eslint-plugin-unused-imports, продължи да привлича инсталации дори след като npm го постави под задържане за сигурност, показвайки колко дълго една небрежна атака може да продължи да намира жертви, след като е била маркирана.
След това, през юли 2026 г., изследователите описват подобна техника, наречена „HalluSquatting“, която свързва халюцинация с незабавно инжектиране: агент за кодиране с изкуствен интелект, който извлича халюциниран ресурс от името на потребителя, може да бъде отвлечен и да изпълни код, предоставен от нападателя. Това разширява еволюцията на slopsquatting от пасивен риск за инсталиране до активен вектор за дистанционно изпълнение на код в рамките на работните процеси за агентна разработка.
Защо „вибрационното кодиране“ разшири повърхността за атака
Небрежното поведение нямаше да има голямо значение, ако генерираният от изкуствен интелект код беше нишов. Не е. Възходът на асистентите по кодиране, автономните агенти и работните процеси с „вибрационно кодиране“, при които разработчиците преглеждат по-малко от кода, преди да го стартират, измести повърхността за атака по два конкретни начина.
Първо, входната точка вече не е само разработчикът. Атаката с типосквотинг зависи от правописна грешка на един човек. Сега грешката възниква вътре в модела и се разпространява до стотици разработчици, които задават подобни въпроси и получават една и съща халюцинирана препоръка.
Второ, повърхността на атаката се премести нагоре по веригата. Вече не е достатъчно да се наблюдава кодът, който пише човек. Екипите трябва да наблюдават зависимостите, предлагани от асистент с изкуствен интелект, MCP сървърите, към които се свързва, и агентите, които инсталират пакети без човек в цикъла. Традиционната AppSec, създадена за преглед на хранилища и човешки ресурси. commits, никога не е бил проектиран да наблюдава това взаимодействие между разработчика, изкуствения интелект и регистъра, което е точно мястото, където сега се крие небрежността.
Какво означава това за превенцията
Нищо от това не прави генеративния изкуствен интелект по своята същност несигурен. Той въвежда риск за веригата на доставки, който традиционните инструменти не са създадени да уловят, и изисква принципите за проверка, които вече прилагаме към всяка външна зависимост: не се доверявайте по подразбиране, проверявайте източника и автоматизирайте тази проверка, вместо да разчитате на паметта на всеки разработчик. Пълният защитен наръчник е в нашето ръководство за... Сигурност на веригата за доставки с изкуствен интелект, но накратко, ръчната проверка, макар и все още необходима, спира мащабирането в момента, в който халюцинирано име може да достигне до хиляди разработчици едновременно или агент може да го инсталира без никакъв човешки преглед.
Спрете халюцинираните пакети, преди агент да ги инсталира
Случаите от 2026 имат една обща черта: опасната инсталация се случва без човешка намеса. Това е точното разстояние между тях. Ксигени Shield е построен за. Shield е лек агент на крайната точка на разработчика, който блокира злонамерени пакети по време на инсталиране, използвайки Ранно предупреждение за злонамерен софтуер (MEW) вердикти, които работят преди да съществува какъвто и да е подпис. Когато асистент с изкуствен интелект или автономен агент се опита да инсталира халюциниран, прясно регистриран пакет, Shield оценява го, когато е извлечено, и го блокира, така че инсталационният скрипт никога не се изпълнява, независимо дали е наблюдавал човек или не. Всеки блок се влива в един и същ Ксигени конзола като вашия код, компилация и резултати по време на изпълнение, и Shield работи успоредно със съществуващия ви EDR, а не срещу него.
Започнете безплатно. Планът за разработчици на Xygeni е 0 евро: 10 хранилища, 200 сканирания на месец, до 5 сътрудници, без кредитна карта. Sign up with GitHub, GitLab или Google и стартирайте първото си сканиране за по-малко от 10 минути; Shield Защитата на крайните точки скоро ще бъде включена в плана за разработчици.
Често задавани въпроси
Може ли мениджърът на пакети сам да предотврати небрежното използване на slopsquatting?
Не напълно. Откриването на колизии на npm блокира имена, твърде подобни на съществуващи пакети, което помага срещу правописни грешки, но халюцинираното име е чисто нов низ без колизия за откриване. Ако атакуващ регистрира халюцинирания пакет, преди разработчикът да го инсталира, инсталирането завършва без грешка, защото пакетът наистина съществува. Предотвратяването изисква проверка на произхода и поведението на пакета, а не само проверки на системния регистър.
Какво отличава случаите на агенти от 2026 г. от по-ранните случаи на небрежност?
По-ранни инциденти са зависели от човешко копиране и поставяне на предложена команда за инсталиране. В 2026 случая автономни агенти са инсталирали или са се опитвали да инсталират халюциногенни пакети без човек да прегледа стъпката, а техниката HalluSquatting е отишла по-далеч, като е свързала халюцинация с незабавно инжектиране, за да постигне дистанционно изпълнение на код в рамките на работния процес на агента.
