Im Jahr 2023 führte der Sicherheitsforscher Bar Lanyado ein stilles Experiment durch. Er bemerkte, dass KI-Programmierassistenten immer wieder ein Python-Paket namens „…“ empfahlen. Huggingface-cliEs gab kein solches Paket. Also erstellte er es: einen leeren Platzhalter, hochgeladen unter genau dem Namen, den die Modelle gerade erfanden. Er fügte weder Funktionalität noch Daten hinzu. Er wartete einfach ab.
Innerhalb von drei Monaten wurde das Paket über 30,000 Mal heruntergeladen. Der manipulierte Installationsbefehl hatte es sogar in die README-Datei eines öffentlichen Repositorys eines großen Technologieunternehmens geschafft. Lanyados Paket war harmlos. Doch das Experiment offenbarte etwas Beunruhigendes: Ein Angreifer kann vorhersagen, was eine KI entwickeln wird, es zuerst registrieren und Entwicklern die Installation ermöglichen. Diese Technik hat nun einen Namen. Slopsquattingund es ist eine der am schnellsten wachsenden Bedrohungen in der Software-Lieferkette.
Was ist Slopsquatting?
Slopsquatting ist ein Supply-Chain-Angriff Bei dieser Methode registriert ein Angreifer ein Schadsoftwarepaket unter einem Namen, den KI-Programmierassistenten erwartungsgemäß halluzinieren. Wenn ein Entwickler ein KI-Tool um Hilfe bittet und dieses die Installation einer plausibel klingenden, aber nicht existierenden Abhängigkeit vorschlägt, hat der Angreifer diesen Namen bereits im öffentlichen Register beansprucht, sodass der „hilfreiche“ Vorschlag Malware statt gar nichts installiert.
Der Begriff war geprägt im April 2025 von Seth Larson, Sicherheitsentwickler-in-Residence bei der Python Software Foundation. Es ist ein Wortspiel mit Typosquatting, die ältere Angriffsmethode, bei der Kriminelle falsch geschriebene Namen beliebter Pakete registrieren (Anfragen statt ZugriffeDer Unterschied liegt in der Fehlerquelle: Typosquatting nutzt menschliche Tippfehler aus, während Slopsquatting den „Schrott“ von KI ausnutzt: die selbstsichere, flüssige, aber falsche Ausgabe, die große Sprachmodelle produzieren.
Warum Slopsquatting tatsächlich funktioniert
Man könnte annehmen, KI-Halluzinationen seien zufälliges Rauschen: jedes Mal ein anderer falscher Name, unmöglich zu instrumentalisieren. Die Forschung beweist das Gegenteil, und genau das ist der springende Punkt.
Eine von Fachkollegen begutachtete Studie, die vorgestellt wurde bei USENIX Security 2025 (Spracklen et al.) Es wurden 16 große Sprachmodelle anhand von 576,000 generierten Codebeispielen getestet. Dabei stellte sich heraus, dass 19.7 % der empfohlenen Pakete nicht existierten: insgesamt 205,474 einzigartige, erfundene Namen. Entscheidend war, dass diese erfundenen Namen wiederholbar43 % der gefälschten Namen tauchten bei wiederholten Abfragen erneut auf, und 58 % wurden bei zehn Durchläufen derselben Abfrage wiederholt angezeigt. Open-Source-Modelle erzeugten in 21.7 % der Fälle falsche Pakete; selbst kommerzielle Modelle wie GPT-4 taten dies in 5.2 % der Fälle: also in jedem zwanzigsten Fall.
Die Wiederholbarkeit macht aus einer kleinen Schwäche einen Angriff. Angreifer müssen nicht raten. Sie können gängige Suchanfragen ausführen, die von den Modellen immer wieder vorgeschlagenen, nicht existierenden Pakete protokollieren und diese Namen als Schadsoftware registrieren. Die KI übernimmt das Targeting.
Wie ein Slopsquatting-Angriff abläuft
Die Angriffskette ist kurz, was unter anderem deshalb gefährlich ist:
- Beobachten. Der Angreifer fordert KI-Programmierassistenten zu gängigen Entwicklungsaufgaben auf und protokolliert die von diesen Tools erfundenen Paketnamen, die aber nicht in der Registry existieren.
- Registrieren. Sie veröffentlichen ein Schadpaket unter einem dieser erfundenen Namen, mit einer sauberen README-Datei, plausiblen Metadaten und einer in einem Installationsskript versteckten Nutzlast.
- Chill. Ein Entwickler (oder ein autonomer Codierungsagent) stellt einem KI-Tool eine ähnliche Frage, erhält dieselbe irreführende Empfehlung und führt diese aus. installieren.
- Ausführen. Die Installationsschnittstelle des Pakets kann zu Sicherheitslücken führen, die Geheimnisse exfiltrieren, eine umgekehrte Hülle öffnen oder eine Hintertür einbauen, und die Kompromittierung wirkt sich nachgelagert auf Builds und die Produktion aus.
Autonome Codierungsagenten erhöhen die Wahrscheinlichkeit von Schritt 3 erheblich. Ein Agent, der Abhängigkeiten ohne menschliche Überprüfung installiert, beseitigt den einzigen Kontrollpunkt, an dem ein Entwickler innegehalten und gedacht hätte: „Von diesem Paket habe ich noch nie gehört.“
Wie schlimm ist es wirklich?
Es wird immer schlimmer. Die USENIX-Studie testete 16 Modelle und fand dennoch heraus, dass fast jedes fünfte empfohlene Paket nicht existierte. Das Problem beschränkt sich also nicht auf ältere oder leistungsschwächere Tools. Ein Programmierassistent, der ausschließlich mit Trainingsdaten arbeitet, kann nicht wissen, ob der vorgeschlagene Paketname sicher, ein Irrtum oder bereits als Malware gekennzeichnet ist: Er hat keinen Echtzeit-Einblick in die Registry. Das ist keine Kuriosität aus dem Labor. Entwickler verlassen sich heute dutzende Male täglich genau darauf.
Slopsquatting nimmt mit dem allgemeinen Verfall der Lieferkettensicherheit ebenfalls zu. Wie Xygeni in seinem Bericht „New AppSec Attack Trends for 2026“ dokumentiert, werden groß angelegte Kampagnen mit schädlichen Paketen im Jahr 2025 zum Standardvorgehensmodell für Lieferkettenangriffe: Angreifer veröffentlichen massenhaft Schadsoftware, akzeptieren schnelle Löschungen und verlassen sich auf Wahrscheinlichkeiten. Künstliche Intelligenz liefert ihnen zudem einen stetigen Nachschub an Domainnamen mit hoher Konversionsrate zur Registrierung.
Wie man sich gegen Hausbesetzungen verteidigt
Die unangenehme Wahrheit ist, dass signaturbasierte Tools dies nicht erkennen können. Ein unautorisiertes Paket ist brandneu; es existiert keine CVE, keine Signatur, und es ist möglicherweise nur wenige Stunden aktiv, bevor es entfernt wird – genug Zeit, um Tausende von Installationen zu erreichen. Effektive Verteidigung beruht auf vier Praktiken:
- Installieren Sie niemals ein von einer KI vorgeschlagenes Paket, ohne vorher zu überprüfen, ob es existiert und legitim ist. Prüfen Sie die tatsächliche Downloadhistorie, den/die Verantwortliche/n und das Repository, nicht nur, ob der Name passend klingt.
- Malware anhand ihres Verhaltens und nicht anhand ihrer Signaturen erkennen. Bewerten Sie ein Paket zum Zeitpunkt der Veröffentlichung anhand seiner Installationsaktionen, Netzwerkaufrufe und VerschleierungsmusterSo wird ein schädliches Paket in dem Moment erkannt, in dem es auftaucht, und nicht erst, nachdem es bereits bekannt ist.
- Installieren Sie eine Abhängigkeits-Firewall zwischen Entwicklern und der Registry. Verdächtige oder brandneue Pakete sollten automatisch unter Quarantäne gestellt werden, bevor sie in einen Build gelangen, anstatt standardmäßig der öffentlichen Registry zu vertrauen.
- Erstellen Sie eine Bestandsaufnahme der KI-Systeme, die in Ihrem System ausgeführt werden. pipeline. Programmierassistenten und autonome Agenten, die Abhängigkeiten installieren, stellen eine Angriffsfläche dar. KI-Stückliste (KI-BOM) macht das sichtbar.
Slopsquatting ist ein Symptom eines größeren Wandels
Slopsquatting ist das deutlichste Beispiel für ein umfassenderes Muster: KI schreibt heute sowohl Ihren Code als auch ist sie das Ziel von Angreifern in Ihrer Lieferkette. Sich isoliert dagegen zu verteidigen, reicht nicht aus; es muss Teil einer umfassenderen Strategie sein. Für das vollständige Bild lesen Sie unseren Leitfaden zu KI-Lieferkettensicherheit, was auch schädliche Pakete umfasst, MCP-Risikenund KI-generierter Code zusammen mit den Abwehrmechanismen, die diesen entgegenwirken.
Hör auf, dich hinzuhocken, bevor es deine Statur erreicht.
Am effektivsten lässt sich ein unberechtigtes Paket verhindern, indem man versucht, es zu installieren, noch bevor das Installationsskript ausgeführt wird. Genau das ist es. Xygeni Shield tut. Shield ist ein leichtgewichtiger Agent auf dem Entwicklerendpunkt, der schädliche Pakete während der Installation blockiert. Malware-Frühwarnung (MEW) Urteile, die funktionieren, bevor überhaupt eine Signatur existiert. Wenn ein KI-Assistent eine halluzinierte Abhängigkeit vorschlägt und der Entwickler sie ausführt installieren, Shield Das Paket wird beim Abruf ausgewertet und blockiert: Das schädliche Post-Install-Skript wird nie ausgeführt, und das Sicherheitsteam sieht den Versuch im vollständigen Kontext.
Weil MEW das Verhalten eines Pakets zum Zeitpunkt seiner Veröffentlichung bewertet (Aktionen bei der Installation, Netzwerkaufrufe, Verschleierungsmuster). Shield Es erkennt exakt die brandneuen, noch nicht signierten Pakete, von denen Slopsquatting abhängt, sowie Typosquatting, Abhängigkeitskonflikte und Kompromisse der Maintainer. Jeder Block wird in derselben Xygeni-Konsole angezeigt wie Ihre Code-, Build- und Laufzeitergebnisse, sodass keine neuen Informationen benötigt werden. dashboard und keine neue Lieferantenbeziehung, Shield Läuft parallel zu Ihrem bestehenden EDR-System, nicht dagegen.
Kostenlos starten. Der Entwicklerplan von Xygeni kostet 0 €: 10 Repositories, 200 Scans pro Monat, bis zu 5 Mitwirkende, keine Kreditkarte erforderlich. Sign up with GitHubNutzen Sie GitLab oder Google und führen Sie Ihren ersten Scan in weniger als 10 Minuten durch; Shield Der Endpunktschutz wird demnächst im Developer-Plan verfügbar sein.
FAQ
Ist Slopsquatting eine reale Bedrohung oder nur theoretischer Natur?
Es ist real. Ein 2023 von dem Forscher Bar Lanyado durchgeführter Machbarkeitsnachweis zeigte ein Platzhalterpaket unter einem halluzinierten Namen (Huggingface-cliDie Software wurde innerhalb von drei Monaten über 30,000 Mal heruntergeladen. Eine Studie von USENIX Security 2025 ergab, dass 19.7 % der von KI empfohlenen Pakete nicht existieren und 43 % dieser generierten Namen in verschiedenen Abfragen wiederholt auftreten, was bedeutet, dass Angreifer sie vorhersagen und registrieren können.
Worin besteht der Unterschied zwischen Slopsquatting und Typosquatting?
Typosquatting nutzt menschliche Tippfehler aus, indem es Rechtschreibfehler in gängigen Softwarepaketen registriert (Anfragen für ZugriffeSlopsquatting nutzt KI-Fehler aus, indem es die von großen Sprachmodellen generierten, aber falschen Paketnamen registriert. Beide Methoden zielen darauf ab, Entwickler zur Installation schädlicher Pakete zu verleiten, doch der ausgenutzte Fehler ist unterschiedlich.
Kann ich KI-Programmierassistenten vertrauen, wenn es darum geht, Abhängigkeiten vorzuschlagen?
Nicht ohne Überprüfung. Selbst führende kommerzielle Modelle schlagen in etwa 5 % der Fälle Pakete vor, die gar nicht existieren. Neuere Analysen ergaben sogar, dass fast 28 % der Aktualisierungsvorschläge eines aktuellen Modells fehlerhaft waren. Prüfen Sie daher immer, ob ein vorgeschlagenes Paket tatsächlich existiert und legitim ist, bevor Sie es installieren.
Wie schütze ich meine Codebasis vor unberechtigter Übernahme?
Überprüfen Sie KI-vorgeschlagene Pakete vor der Installation, erkennen Sie Malware anhand ihres Verhaltens zum Zeitpunkt der Veröffentlichung anstatt auf eine Signatur zu warten, richten Sie eine Abhängigkeits-Firewall zwischen Entwicklern und öffentlichen Registries ein und pflegen Sie ein KI-BOM-Inventar der in Ihrem System ausgeführten KI-Tools und -Agenten. pipeline.
