La propera vegada que un assistent d'IA recomani un paquet per instal·lar, comprovaràs si realment existeix? La majoria dels desenvolupadors no ho fan. Aquesta bretxa entre el suggeriment i la verificació és on comencen els atacs de slopsquatting, i en menys de tres anys, l'amenaça ha evolucionat des de la prova de concepte d'un investigador fins a l'execució remota de codi dins d'agents de codificació autònoms. Aquest article traça l'evolució de l'slopsquatting i què significa cada etapa per als equips d'AppSec i DevSecOps.
Ets nou aquí? Comença amb la nostra introducció a Què és l'slopsquatting i com defensar-se'n, després torna per la cronologia.
Un atac de desobediència en un paràgraf
Un atac de slopsquatting registra un paquet maliciós amb un nom que els models d'IA previsiblement al·lucinen. On el typosquatting explota una errada tipogràfica humana sol·licituds for peticions, l'"slopsquatting" explota el propi model inventant un nom plausible que no existeix en cap registre, i després un atacant reclama aquest nom exacte abans que ho faci ningú legítim. El terme va ser encunyat per Seth Larson, desenvolupador de seguretat resident a la Python Software Foundation, i popularitzat per Andrew Nesbitt. El que fa que valgui la pena seguir el patró és la rapidesa amb què ha madurat.
Evolució de l'esquat
2023: el primer senyal d'alerta
L'investigador de seguretat Bar Lanyado va notar que diversos LLM continuaven recomanant un paquet anomenat huggingface-cli, que no existeix (l'eina real s'instal·la amb pip install -U “huggingface_hub[cli]”). Per demostrar el risc, va penjar un paquet buit amb aquell nom al·lucinat. En tres mesos s'havia descarregat més de 30,000 vegades, sense cap promoció, i el nom fals fins i tot va aparèixer al fitxer README d'un repositori vinculat a la investigació d'una important empresa tecnològica. El paquet era inofensiu. La lliçó no era aquesta: un nom al·lucinat només ha de ser prou coherent perquè algú el pugui convertir en una arma.
2024: de l'entrada de blog a la cobertura mediàtica generalista
El març del 2024, The Register va informar sobre models d'IA que inventaven amb confiança noms de paquets de programari que els desenvolupadors després descarregaven, alguns possiblement enverinats amb programari maliciós. La cobertura va importar menys pel que revelava tècnicament que pel que assenyalava: huggingface-cli ja no era una curiositat puntual, sinó el primer signe d'un patró prou seriós perquè la premsa tecnològica convencional el denunciés, abans de l'estudi a gran escala que confirmaria el seu abast un any més tard.
2025: la primera mesura rigorosa
L'article de USENIX Security 2025 "Tenim un paquet per a tu!" (Spracklen et al.) va provar 16 models de generació de codi, comercials i de codi obert, en 576,000 mostres de Python i JavaScript. Va fer que l'ocupació il·legal passés de l'anècdota a les dades:
- El 19.7% dels paquets recomanats no existien.
- Els models de codi obert van al·lucinar molt més sovint (21.7% de mitjana) que els comercials (5.2%).
- Els pitjors infractors, CodeLlama 7B i 34B, van al·lucinar en més d'un terç de les seves produccions.
- En tots els models, els investigadors van registrar més de 205,000 noms únics amb al·lucinacions, un conjunt prou gran per alimentar campanyes sostingudes en tots els ecosistemes.
L'estudi també va classificar com es formen les falsificacions: el 38% eren confusions que fusionen dos noms de paquets reals (exactament el patró que va produir més tard) reaccionen amb canvi de codi de jscodeshift i react-codemod), el 13% eren variants d'estil tipogràfic de paquets reals, i el 51% eren pures invencions plausibles però completament inventades. Aquest primer grup és el més important per a la defensa, perquè un nom unit a partir de dues eines reals és el més difícil de detectar a simple vista.
La troballa més important per als atacants: les al·lucinacions no són aleatòries i no canvien en cada intent. Quan els investigadors van repetir indicacions idèntiques deu vegades cadascuna, el 43% dels noms al·lucinats van aparèixer en cada execució i el 58% van repetir-se més d'una vegada. Un atacant no necessita endevinar. Observa el comportament del model, pren nota dels noms que es repeteixen i els registra primer. Aquesta repetibilitat és el que converteix una al·lucinació puntual en un atac escalable.
2026: de paquets aïllats a agents autònoms
Aquest any ha produït l'evidència més clara fins ara que l'"slopsquatting" ja no es limita a un desenvolupador que copia i enganxa un suggeriment. npm instal·lar.
El gener de 2026, l'investigador de seguretat Charlie Eriksen va trobar un paquet npm al·lucinat. reaccionen amb canvi de codi, que les instruccions de l'agent generades per IA ja s'havien estès per 237 repositoris a través de forks, amb agents que encara intentaven instal·lar-lo diàriament. Es va originar en un únic commit d'arxius d'habilitats d'agents escrits per IA que cap humà havia revisat. Eriksen va registrar el nom ell mateix, defensivament, abans que un atacant pogués convertir-lo en una arma.
Per separat, un paquet genuïnament maliciós anomenat importacions no utilitzades, al·lucinat en lloc del legítim importacions-no-utilitzades-de-plugin-eslint, va continuar dibuixant instal·lacions fins i tot després que npm el posés sota una retenció de seguretat, cosa que demostra quant de temps pot seguir trobant víctimes un atac de slopsquatting després d'haver estat marcat.
Aleshores, el juliol de 2026, els investigadors van descriure una tècnica relacionada anomenada "HalluSquatting" que encadena una al·lucinació amb una injecció ràpida: un agent de codificació d'IA que obté un recurs al·lucinat en nom d'un usuari pot ser segrestat per executar codi proporcionat per l'atacant. Això estén l'evolució de l'slopsquatting d'un risc d'instal·lació passiu a un vector actiu d'execució remota de codi dins dels fluxos de treball de desenvolupament agentiu.
Per què la "codificació de vibracions" va ampliar la superfície d'atac
L'ocupació il·legal no importaria gaire si el codi generat per IA fos de nínxol. No ho és. L'auge dels assistents de codificació, els agents autònoms i els fluxos de treball de "codificació vibratòria", on els desenvolupadors revisen menys codi abans d'executar-lo, ha canviat la superfície d'atac de dues maneres concretes.
En primer lloc, el punt d'entrada ja no és només el desenvolupador. Un atac de typosquatting depenia d'una sola persona que cometés errors d'escriptura. Ara l'error s'origina dins del model i es propaga a centenars de desenvolupadors que fan preguntes similars i reben la mateixa recomanació al·lucinada.
En segon lloc, la superfície d'atac va pujar de la cadena. Ja no n'hi ha prou amb observar el codi que escriu un humà. Els equips han de vigilar les dependències que suggereix un assistent d'IA, els servidors MCP als quals es connecta i els agents que instal·len paquets sense cap humà en el bucle. AppSec tradicional, creat per revisar repositoris i humans commits, mai va ser dissenyat per observar aquesta interacció entre desenvolupador, IA i registre, que és exactament on ara s'amaga l'slopsquatting.
Què significa això per a la prevenció
Res d'això fa que la IA generativa sigui inherentment insegura. Introdueix un risc a la cadena de subministrament que les eines tradicionals no estaven dissenyades per detectar, i requereix els principis de verificació que ja apliquem a qualsevol dependència externa: no confiar per defecte, verificar la font i automatitzar aquesta verificació en lloc de confiar en la memòria de cada desenvolupador. El manual defensiu complet es troba a la nostra guia per a Seguretat de la cadena de subministrament amb IA, però la versió curta és que la verificació manual, tot i que encara és necessària, deixa d'escalar en el moment en què un nom al·lucinat pot arribar a milers de desenvolupadors alhora, o un agent el pot instal·lar sense cap revisió humana.
Atura els paquets al·lucinats abans que un agent els instal·li
Els casos del 2026 comparteixen una característica: la instal·lació perillosa es produeix sense la participació d'un humà. Aquesta és exactament la diferència. Xígeni Shield està construït per a. Shield és un agent lleuger al punt final del desenvolupador que bloqueja paquets maliciosos en el moment de la instal·lació, utilitzant Alerta precoç de programari maliciós (MEW) veredictes que funcionen abans que existeixi cap signatura. Quan un assistent d'IA o un agent autònom intenta instal·lar un paquet al·lucinat i recentment registrat, Shield l'avalua a mesura que s'obté i el bloqueja, de manera que l'script d'instal·lació no s'executa mai, tant si hi ha una persona que ho estigui observant com si no. Cada bloc flueix cap al mateix Xígeni consola com a codi, compilació i troballes en temps d'execució, i Shield funciona al costat del vostre EDR existent en lloc d'en contra.
Comença gratis. El pla per a desenvolupadors de Xygeni és de 0 €: 10 repositoris, 200 escanejos al mes, fins a 5 col·laboradors, sense targeta de crèdit. Sign up with GitHub, GitLab o Google i executa la primera exploració en menys de 10 minuts; Shield La protecció de punts finals aviat arribarà al pla per a desenvolupadors.
FAQ
Pot un gestor de paquets evitar el slopsquatting per si sol?
No completament. La detecció de col·lisions de npm bloqueja noms massa similars als paquets existents, cosa que ajuda contra l'ocupació tipogràfica, però un nom al·lucinat és una cadena nova sense cap col·lisió per detectar. Si un atacant registra el paquet al·lucinat abans que un desenvolupador l'instal·li, la instal·lació es completa sense errors perquè el paquet existeix realment. La prevenció necessita la verificació de l'origen i el comportament del paquet, no només les comprovacions del registre.
Què fa que els casos de l'agent del 2026 siguin diferents dels casos d'ocupació il·legal anteriors?
Incidents anteriors depenien d'un humà que copiava i enganxava una ordre d'instal·lació suggerida. En els casos del 2026, agents autònoms van instal·lar o intentar instal·lar paquets al·lucinats sense que cap humà revisés el pas, i la tècnica HalluSquatting va anar més enllà encadenant una al·lucinació amb una injecció ràpida per aconseguir l'execució remota de codi dins del flux de treball de l'agent.
