Was ist Slopsquatting?

Was ist Slopsquatting? Es handelt sich um einen Angriff. Dabei registrieren Angreifer die exakten Paketnamen, die KI-Programmierassistenten generieren, laden diese Pakete anschließend mit Schadsoftware und warten darauf, dass ein Entwickler sie installiert. Dies ist kein Einzelfall. In einer auf der Konferenz vorgestellten Studie… USENIX Security 2025, 19.7 % der von KI-Codierungsmodellen empfohlenen Pakete existierten in 576,000 Codebeispielen nicht, und die Forscher protokollierten über 205,000 einzigartige, erfundene Namen in den getesteten Modellen.

Es ist wichtig zu verstehen, was Slopsquatting ist (und wie sich Slopsquatting in der Praxis auswirkt), da es sich nicht nur um eine Eigenart der KI handelt. Slopsquatting ist der Nachfolger des KI-Zeitalters von … TyposquattingMit einem entscheidenden Unterschied: Typosquatting basiert auf menschlichen Tippfehlern, während Slopsquatting auf Fehlern in Algorithmen beruht, die sich so häufig wiederholen, dass Angreifer sie in großem Umfang ausnutzen können. Dieser Leitfaden erklärt, was Slopsquatting ist, warum es sich schneller verbreitet, als es durch Paketprüfungen erkannt werden kann, welche Risiken es birgt und wie Unternehmen es erkennen und verhindern können, bevor es in die Produktion gelangt.

Slopsquatting – Bedeutung: Definition #

Slopsquatting bedeutet wörtlich: die Praxis, einen Paketnamen zu registrieren, der von einem großen Sprachmodell generiert wird – einen erfundenen Namen, der plausibel klingt, aber in keinem öffentlichen Register existiert – und diesen mit Schadcode zu belegen. bevor ein echter Entwickler es aufgrund des KI-Vorschlags installiert.

Der Begriff erweitert das Konzept des Typosquatting (die Registrierung eines Paketnamens, der einem realen Namen durch einen häufigen Rechtschreibfehler ähnelt) auf den spezifischen Fehlermodus generativer KI. Während Typosquatting einen menschlichen Tippfehler ausnutzt, nutzt Slopsquatting einen Fehler aus, der auf einem häufigen Rechtschreibfehler beruht. Halluzinationen des KI-ModellsnEin Programmierassistent empfiehlt die Installation eines Pakets mit pip oder npm, das noch nie existiert hat, und ein Angreifer, dem aufgefallen ist, dass der gleiche erfundene Name in verschiedenen Eingabeaufforderungen immer wieder auftaucht, registriert ihn zuerst.

Slopsquatting bedeutet in der Praxis Folgendes: ein Angriff auf die Lieferkette, der einen Modellfehler ausnutzt, ohne dass menschliches Versagen erforderlich ist – außer dem Vertrauen auf den Vorschlag der KI. Dies ist keine Theorie. Ein einzelnes, als harmloser Test im Jahr 2023 platziertes, fehlerhaftes Paket erreichte innerhalb von drei Monaten über 30,000 Downloads ohne jegliche Werbung und bestätigte, dass bösartige Varianten, die genau dieses Muster ausnutzen, bereits in öffentlichen Datenbanken verfügbar sind.

Slopsquatting vs Typosquatting: Was ist der Unterschied? #

Slopsquatting und Typosquatting haben zwar das gleiche Ergebnis (ein Entwickler installiert ein bösartiges Paket in dem Glauben, es sei legitim), aber die Fehlerursache ist kategorisch unterschiedlich.

Typosquatting beruht auf einem menschlichen Tippfehler: Ein Entwickler tippt versehentlich „requests“ statt „reqeusts“, und ein Angreifer, der sich diesen falsch geschriebenen Namen gesichert hat, wartet nur darauf. Das Risiko ist an einen einzigen Tastendruck, einen Moment der Unaufmerksamkeit gebunden.

Slopsquatting eliminiert menschliche Fehler vollständig und ersetzt sie durch einen Modellfehler, der sich bei jedem Entwickler, der eine ähnliche Eingabeaufforderung erhält, wiederholt. Eine Folgeanalyse ergab, dass bei zehnmaliger Wiederholung identischer Eingabeaufforderungen 43 % der generierten Paketnamen bei jedem Durchlauf und 58 % sogar mehrfach auftraten. Diese Wiederholbarkeit macht Slopsquatting angreifbar: Ein Angreifer muss keinen Tippfehler erraten. Er muss lediglich beobachten, welchen generierten Namen ein Modell wiederholt ausgibt, und diesen registrieren, bevor es ein Entwickler tut.

Der größte Unterschied liegt im Umfang. Ein durch Tippfehler gesichertes Paket wartet auf einen Tippfehler. Ein durch ungenaue Formulierung gesichertes Paket wartet darauf, dass dieselbe KI-generierte Empfehlung den nächsten Entwickler erreicht, und den übernächsten, und so weiter – in jeder Organisation, die dasselbe Modell verwendet.

Warum Slopsquatting Spreads? #

Slopsquatting breitet sich aus demselben Grund aus wie Typosquatting: Angreifer nutzen ein vorhersehbares Muster aus, dem Entwickler standardmäßig vertrauen. Neu ist jedoch das Ausmaß dieses Vertrauens.

Der Aufstieg der KI-gestützten CodierungAutonome Agenten und „Vibe Coding“-Workflows, bei denen Entwickler immer weniger Code vor der Ausführung überprüfen, haben die Angriffsfläche für Software auf zwei konkrete Arten verändert:

Der Einstiegspunkt ist nicht mehr nur der Entwickler. Ein Typosquatting-Angriff basiert auf einem Tippfehler einer einzigen Person. Slopsquatting kann innerhalb des Modells selbst entstehen und sich auf Hunderte von Entwicklern ausbreiten, die ähnliche Fragen stellen und dieselbe fehlerhafte Empfehlung erhalten, wodurch die Reichweite eines einzelnen Angriffs vervielfacht wird.

Die Angriffsfläche hat sich weiter nach oben in der Kette verlagert. Es reicht nicht mehr aus, nur den von Menschen geschriebenen Code zu überprüfen. Teams müssen auch die Abhängigkeiten im Auge behalten, die ein KI-Assistent vorschlägt, die MCP-Server, mit denen er sich verbindet, und die Agenten, die Pakete autonom und ohne direkte menschliche Überprüfung installieren. Traditionelle Anwendungssicherheit, die für die Überprüfung von Repositories und menschlichen Codes konzipiert wurde, ist damit überholt. commits war nie dafür ausgelegt, diese neue Interaktion zwischen Entwickler, KI und Paketregistrierung zu beobachten, und genau dort versteckt sich das Slopsquatting.

Risiken der Hausbesetzung #

Slopsquatting birgt Risiken in verschiedenen Dimensionen, die sich gegenseitig verstärken, und dieser Trend beschleunigt sich, anstatt abzuebben.

• Wiederholbare Ausnutzung. Da halluzinierte Namen nicht zufällig sind, taucht derselbe falsche Name in verschiedenen Sitzungen und Modellen vorhersehbar wieder auf. Angreifer müssen nicht raten; sie müssen lediglich das Modellverhalten beobachten und die wiederkehrenden Namen registrieren, wodurch aus einer einmaligen Halluzination ein skalierbarer, wiederholbarer Angriff wird.
• Agentische Ausbreitung. Slopsquatting beschränkt sich nicht mehr darauf, dass Entwickler einfach einen vorgeschlagenen Installationsbefehl kopieren. Im Januar 2026 stellten Forscher fest, dass KI-Programmieragenten bereits Anweisungen für ein fiktives npm-Paket in 237 Repositories verbreitet hatten. Die Agenten versuchten weiterhin täglich, es zu installieren, ohne dass ein Mensch den Fehler bemerkte.
• Umgehung von Namensähnlichkeiten. Etwa 38 % der erfundenen Paketnamen ähneln realen Paketen stark, wodurch die Wahrscheinlichkeit sinkt, dass ein Entwickler die Verwechslung auf den ersten Blick bemerkt. Ein bösartiges Paket, dessen Name sich nur um ein Zeichen von einer vertrauenswürdigen Abhängigkeit unterscheidet, wirkt nicht verdächtig; es sieht aus wie ein Tippfehler, den man selbst gemacht hätte.
• Anhaltende Exposition nach der Erkennung. Ein gefälschtes Paket, das ein legitimes ESLint-Plugin ersetzte, verzeichnete auch nach der Sperrung durch die Registry weiterhin wöchentliche Downloads – ein Beweis dafür, dass die Kennzeichnung eines gefälschten Pakets dessen Installation nicht sofort verhindert.

Wo sich das Slopsquatting versteckt #

Das Schwierigste am Slopsquatting ist, dass es im Moment seines Auftretens nicht wie ein Angriff aussieht; es sieht aus wie eine normale pip-Installation oder npm-Installation, die erfolgreich abgeschlossen wird, da das Paket tatsächlich existiert, sobald ein Angreifer es registriert hat.

Slopsquatting erfolgt typischerweise über folgende Wege:

• KI-Programmierassistenten und Copiloten. Die Schwachstelle liegt in dem ursprünglichen Vorschlag – einem erfundenen Paketnamen, der neben legitimem, funktionierendem Code präsentiert wird. Der umgebende Code sieht nicht fehlerhaft aus, da er es in der Regel auch nicht ist; nur die Abhängigkeit ist gefälscht.
• Autonome Codierungsagenten. Agentische Workflows, die Abhängigkeiten ohne menschliche Überprüfung installieren, beseitigen den einen Kontrollpunkt – einen Entwickler, der inne hält, um einen Namen zu überprüfen –, der sonst ein fehlerhaftes Paket erkennen würde, bevor es ein Projekt erreicht.
• Paketmanager ohne Verifizierungsschritt. Weder `pip install` noch `npm install` geben eine Fehlermeldung aus, wenn das Zielpaket bereits existiert und schädlich ist. Die Installation wird normal abgeschlossen, da aus Sicht des Paketmanagers kein Fehler vorliegt.

Wie man Slopsquatting erkennt und verhindert #

Um Slopsquatting zu verhindern, sind keine exotischen Tools erforderlich. Es bedarf lediglich der systematischen Anwendung bereits bestehender Praktiken zur Abhängigkeitshygiene, anstatt diese zu lockern, sobald eine KI den Code „vorschlägt“.

Überprüfen Sie jedes neue Paket, bevor Sie es installieren.Insbesondere wenn es von einem KI-Assistenten vorgeschlagen wurde. Prüfen Sie, ob es im offiziellen Register existiert, wer es verwaltet, wann es veröffentlicht wurde und ob die Downloadzahlen authentisch erscheinen.

Gehen Sie niemals davon aus, dass KI-generierter Code standardmäßig sicher ist.Funktionierter Code bedeutet nicht zwangsläufig, dass seine Abhängigkeiten legitim sind. Die Überprüfung von Abhängigkeiten sollte Bestandteil der Codeüberprüfung sein und keine Ausnahme darstellen.

Setzen Sie eine Abhängigkeitsprüfung ein, die Risikomuster erkennt, die über bekannte CVEs hinausgehen: anomale Pakete, Namen, die verdächtig ähnlich zu bestehenden sind, neue Maintainer ohne Erfolgsbilanz oder Installationsskripte mit ungewöhnlichem Verhalten.

Setzen Sie AI-SPM als Governance-Ebene ein. AI Security Posture Management ist die Vorgehensweise, die genau diese Art von KI-bedingten Risiken in großem Umfang aufspüren soll, indem sie kontinuierlich von der KI vorgeschlagene Abhängigkeiten erkennt und bewertet, bevor ein Mensch überhaupt daran denken muss, dies manuell zu überprüfen.

Schutz vor Slopsquatting mit Xygeni #

Slopsquatting lässt sich nicht allein durch die Wachsamkeit der Entwickler verhindern. Eine Richtlinie, die besagt, dass jedes von der KI vorgeschlagene Paket überprüft werden muss, ist in einem Unternehmen, in dem Abhängigkeitsvorschläge schneller eintreffen, als menschliche Prüfprozesse damit Schritt halten können, nicht praktikabel.

Xygenis Dieser Ansatz behandelt dies als ein kontinuierliches Erkennungsproblem: KI-Inventarisierung und KI-Stückliste Jede KI-Einführung an die Oberfläche Abhängigkeit über die SDLCDadurch erhalten Teams eine dynamische Aufzeichnung dessen, was ein KI-Assistent tatsächlich vorgeschlagen und installiert hat. Xygeni Shieldeinen schweren Verlauf verhindern kann. MEW (Malware-Frühwarnung), erkennt und blockiert schädliche Pakete, einschließlich Slopsquatting-Pakete, noch bevor eine Signatur existiert, und schließt damit genau die Lücke, die signaturbasierte Scanner hinterlassen.

Wenn Ihre Teams KI-basierte Programmierassistenten einsetzen, besteht das Problem der Namenssquatting bereits. Die Frage ist, ob der nächste einfallslos gewählte Name vor der Installation erkannt wird.

FAQ #