Næste gang en AI-assistent anbefaler en pakke at installere, vil du så tjekke, om den rent faktisk findes? Det gør de fleste udviklere ikke. Det er i denne kløft mellem forslag og verifikation, at slopsquatting-angreb begynder, og på mindre end tre år har truslen udviklet sig fra en forskers proof of concept til fjernudførelse af kode i autonome kodeagenter. Denne artikel sporer slopsquatting-udviklingen og hvad hvert trin betyder for AppSec- og DevSecOps-teams.
Ny her? Start med vores introduktion til Hvad slopsquatting er, og hvordan man forsvarer sig mod det, og kom så tilbage for at se tidslinjen.
Et slattent angreb i ét afsnit
Et slattende angreb registrerer en ondsindet pakke under et navn, som AI-modeller forudsigeligt hallucinerer. Hvor typosquatting udnytter en menneskelig stavefejl anmodninger forum anmodninger, slopsquatting udnytter selve modellen til at opfinde et plausibelt navn, der ikke findes i noget register, hvorefter en angriber gør krav på det nøjagtige navn, før nogen legitim gør det. Udtrykket blev opfundet af Seth Larson, Security Developer-in-Residence hos Python Software Foundation, og populariseret af Andrew Nesbitt. Det, der gør mønsteret værd at spore, er, hvor hurtigt det er modnet.
Slopsquatting-evolution
2023: det første advarselstegn
Sikkerhedsforsker Bar Lanyado bemærkede, at flere LLM'er blev ved med at anbefale en pakke kaldet huggingface-cli, som ikke findes (det rigtige værktøj installeres med pip install -U “huggingface_hub[cli]”For at demonstrere risikoen uploadede han en tom pakke under det hallucinerede navn. Inden for tre måneder var den blevet downloadet mere end 30,000 gange uden nogen form for reklame, og det falske navn dukkede endda op i README-filen i et arkiv knyttet til forskning fra en stor teknologivirksomhed. Pakken var harmløs. Lærdommen var ikke: et hallucineret navn skal bare være konsistent nok til, at nogen kan gøre det til et våben.
2024: fra blogindlæg til mainstream-dækning
I marts 2024 rapporterede The Register om AI-modeller, der selvsikkert opfandt navne på softwarepakker, som udviklere derefter downloadede, nogle potentielt forgiftet med malware. Dækningen betød mindre, hvad den teknisk afslørede, end hvad den signalerede: huggingface-cli var ikke længere en engangskuriositet, men det første tegn på et mønster, der var alvorligt nok til, at mainstream tech-presse kunne påpege det, forud for den storstilede undersøgelse, der ville bekræfte dens omfang et år senere.
2025: den første grundige måling
USENIX Security 2025-artiklen "Vi har en pakke til dig!" (Spracklen et al.) testede 16 kodegenereringsmodeller, både kommercielle og open source, på tværs af 576,000 Python- og JavaScript-eksempler. Den flyttede slopsquatting fra anekdote til data:
- 19.7% af de anbefalede pakker eksisterede ikke.
- Open source-modeller hallucinerede langt oftere (21.7 % i gennemsnit) end kommercielle modeller (5.2 %).
- De værste syndere, CodeLlama 7B og 34B, hallucinerede i mere end en tredjedel af deres output.
- På tværs af alle modeller registrerede forskerne over 205,000 unikke hallucinerede navne, en pulje stor nok til at give næring til vedvarende kampagner på tværs af økosystemer.
Undersøgelsen kategoriserede også, hvordan forfalskningerne dannes: 38% var sammensmeltninger, der fusionerer to rigtige pakkenavne (præcis det mønster, der senere producerede react-codeshift fra jscodeshift og react-codemod), 13% var typografiske varianter af rigtige pakker, og 51% var rene opdigtede versioner, der er plausible, men fuldstændig opfundne. Den første gruppe er vigtigst for forsvaret, fordi et navn, der er syet sammen af to rigtige værktøjer, er det sværeste at få øje på ved første øjekast.
Det vigtigste fund for angribere: hallucinationer er ikke tilfældige og ændrer sig ikke ved hvert forsøg. Da forskere gentog identiske prompter ti gange hver, optrådte 43% af de hallucinerede navne ved hver enkelt kørsel, og 58% gentog sig mere end én gang. En angriber behøver ikke at gætte. De observerer modeladfærd, noterer de navne, der bliver ved med at gentage sig, og registrerer dem først. Denne gentagelsesbarhed er det, der forvandler en engangshallucination til et skalerbart angreb.
2026: fra isolerede pakker til autonome agenter
I år fremkom det hidtil klareste bevis på, at slopsquatting ikke længere er begrænset til, at en udvikler kopierer og indsætter et foreslået npm installere.
I januar 2026 fandt sikkerhedsforsker Charlie Eriksen en hallucineret npm-pakke, react-codeshift, at AI-genererede agentinstruktioner allerede var spredt på tværs af 237 repositories via forks, hvor agenter stadig forsøgte at installere dem dagligt. Det opstod i en enkelt commit af AI-skrevne agentfærdighedsfiler, som intet menneske havde gennemgået. Eriksen registrerede navnet selv, defensivt, før en angriber kunne bevæbne det.
Separat, en ægte ondsindet pakke med navnet ubrugte importvarer, hallucineret i stedet for det legitime eslint-plugin-ubrugt-import, blev ved med at tegne installationer selv efter npm satte den under sikkerhedshold, hvilket viser hvor længe et slopsquatting-angreb kan blive ved med at finde ofre efter det er blevet markeret.
I juli 2026 beskrev forskere så en relateret teknik kaldet "HalluSquatting", der kæder en hallucination sammen med en prompt injektion: en AI-kodningsagent, der henter en hallucineret ressource på en brugers vegne, kan kapres til at køre angriberleveret kode. Det udvider slopsquatting-udviklingen fra en passiv installationsrisiko til en aktiv fjernkodeudførelsesvektor i agentudviklingsworkflows.
Hvorfor "vibe coding" udvidede angrebsfladen
Slopsquatting ville ikke betyde så meget, hvis AI-genereret kode var en niche. Det er det ikke. Fremkomsten af kodningsassistenter, autonome agenter og "vibe coding"-arbejdsgange, hvor udviklere gennemgår mindre af koden, før de kører den, har ændret angrebsfladen på to konkrete måder.
For det første er indgangspunktet ikke længere kun udvikleren. Et typosquatting-angreb afhang af, at én person tastede forkert. Nu stammer fejlen fra modellen og spreder sig til hundredvis af udviklere, der stiller lignende spørgsmål og får den samme hallucinerede anbefaling.
For det andet flyttede angrebsfladen sig opad i kæden. Det er ikke længere nok at holde øje med den kode, et menneske skriver. Teams skal holde øje med de afhængigheder, en AI-assistent foreslår, de MCP-servere, den opretter forbindelse til, og de agenter, der installerer pakker uden mennesker i løkken. Traditionel AppSec, bygget til at gennemgå arkiver og menneskelige... commits, blev aldrig designet til at observere den interaktion mellem udvikler, AI og registreringsdatabasen, hvilket er præcis der, slopsquatting nu gemmer sig.
Hvad dette betyder for forebyggelse
Intet af dette gør generativ AI iboende usikker. Det introducerer en risiko i forsyningskæden, som traditionelle værktøjer ikke er bygget til at fange, og det kræver de verifikationsprincipper, vi allerede anvender på enhver ekstern afhængighed: stol ikke som standard på det, verificer kilden, og automatiser denne verifikation i stedet for at stole på hver udviklers hukommelse. Den fulde defensive playbook findes i vores guide til AI-forsyningskædesikkerhed, men den korte version er, at manuel verifikation, selvom den stadig er nødvendig, stopper med at skalere i det øjeblik, et hallucineret navn kan nå ud til tusindvis af udviklere på én gang, eller en agent kan installere det uden nogen menneskelig gennemgang overhovedet.
Stop hallucinerede pakker, før en agent installerer dem
Tilfældene fra 2026 deler én ting: den farlige installation sker uden et menneske involveret. Det er præcis den forskel. Xygeni Shield er bygget til. Shield er en letvægtsagent på udviklerens endpoint, der blokerer ondsindede pakker under installationen ved hjælp af Tidlig advarsel om malware (MEW) domme, der virker, før der findes en signatur. Når en AI-assistent eller autonom agent forsøger at installere en hallucineret, friskregistreret pakke, Shield evaluerer den, når den hentes, og blokerer den, så installationsscriptet aldrig kører, uanset om et menneske har set med eller ej. Hver blok flyder ind i den samme Xygeni konsol som din kode, build og runtime-resultater, og Shield kører sammen med din eksisterende EDR i stedet for imod den.
Start gratis. Xygenis udviklerplan koster €0: 10 arkiver, 200 scanninger om måneden, op til 5 bidragydere, intet kreditkort. Sign up with GitHub, GitLab eller Google, og kør din første scanning på under 10 minutter; Shield Endpoint-beskyttelse kommer snart til udviklerabonnementet.
Ofte stillede spørgsmål
Kan en pakkehåndtering selv forhindre slopsquatting?
Ikke fuldt ud. npms kollisionsdetektion blokerer navne, der ligner for meget eksisterende pakker, hvilket hjælper mod typosquatting, men et hallucineret navn er en helt ny streng uden kollision at detektere. Hvis en angriber registrerer den hallucinerede pakke, før en udvikler installerer den, fuldføres installationen uden fejl, fordi pakken rent faktisk eksisterer. Forebyggelse kræver verifikation af pakkens oprindelse og adfærd, ikke kun registreringsdatabasens egne kontroller.
Hvad adskiller agentsagerne i 2026 fra tidligere slopsquatting-sagerne?
Tidligere hændelser afhang af, at et menneske kopierede og indsatte en foreslået installationskommando. I 2026-tilfældene installerede eller forsøgte autonome agenter at installere hallucinerede pakker uden at et menneske gennemgik trinnet, og HalluSquatting-teknikken gik videre ved at kæde en hallucination sammen med en prompt injektion for at opnå fjernudførelse af kode i agentens arbejdsgang.
