Vuonna 2023 tietoturvatutkija nimeltä Bar Lanyado suoritti hiljaisen kokeen. Hän huomasi, että tekoälykoodausavustajat suosittelivat jatkuvasti Python-pakettia nimeltä halaava kasvo-cli, paketti, jota ei ollut olemassa. Niinpä hän loi sen: tyhjän paikkamerkin, joka ladattiin täsmälleen sillä nimellä, jota mallit keksivät. Hän ei lisännyt mitään toiminnallisuutta eikä hyötykuormaa. Hän vain odotti.
Kolmen kuukauden kuluessa paketti oli ladattu yli 30 000 kertaa. Hallucinated install -komento oli jopa löytänyt tiensä erään suuren teknologiayrityksen julkiseen README-arkistoon. Lanyadon paketti oli vaaraton. Mutta koe osoitti jotakin huolestuttavaa: hyökkääjä voi ennustaa, mitä tekoäly keksii, rekisteröidä sen ensin ja antaa kehittäjien asentaa sen itse. Tällä tekniikalla on nyt nimi, löysä kyykky, ja se on yksi nopeimmin kasvavista uhkista ohjelmistojen toimitusketjussa.
Mitä on slopsquatting?
Slopsquatting on toimitusketjun hyökkäys jossa hyökkääjä rekisteröi haittaohjelmapaketin nimellä, jonka tekoälykoodausavustajat ennustettavasti hallusinoivat. Kun kehittäjä pyytää apua tekoälytyökalulta ja se ehdottaa uskottavalta kuulostavan mutta olemattoman riippuvuuden asentamista, hyökkääjä on jo ilmoittautunut kyseisen nimen haltuunsa julkisessa rekisterissä, joten "hyödyllinen" ehdotus asentaa haittaohjelman ei mitään.
Termi oli Seth Larsonin keksimä huhtikuussa 2025, Python Software Foundationin vakituinen tietoturvakehittäjä. Se on leikkiä typosquatting, vanhempi hyökkäys, jossa rikolliset rekisteröivät suosittujen pakettien kirjoitusvirheitä (pyynnöt sijasta pyynnöt). Ero on virheen lähde: typosquatting hyödyntää ihmisten tekemiä kirjoitusvirheitä, kun taas slopsquatting hyödyntää tekoälyn "sloppia": varmaa, sujuvaa ja väärää tulostetta, jota suuret kielimallit tuottavat.
Miksi slopsquatting todella toimii
Voisi olettaa, että tekoälyn hallusinaatiot ovat satunnaista kohinaa: joka kerta eri valenimi, jota on mahdotonta käyttää aseena. Tutkimukset kuitenkin väittävät toisin, ja se on koko jutun pointti.
Vertaisarvioitu tutkimus, joka esiteltiin osoitteessa USENIX Security 2025 (Spracklen et al.) testasi 16 suurta kielimallia 576 000 luodun koodinäytteen perusteella. Se havaitsi, että 19.7 % suositelluista paketeista ei ollut olemassa: yhteensä 205 474 ainutlaatuista hallusinoitunutta nimeä. Ratkaisevasti nämä hallusinaatiot olivat toistettavissa43 % väärennetyistä nimistä esiintyi toistuvissa kehotteissa ja 58 % kymmenen saman kyselyn aikana. Avoimen lähdekoodin mallit hallusinoivat paketteja 21.7 % ajasta; jopa kaupalliset mallit, kuten GPT-4, tekivät niin 5.2 % ajasta: yksi kahdestakymmenestä.
Toistettavuus tekee erikoisuudesta hyökkäyksen. Hyökkääjän ei tarvitse arvailla. Hän voi suorittaa suosittuja kehotteita, tallentaa mallien ehdottamia olemattomia paketteja ja rekisteröidä nämä nimet haittaohjelmiksi. Tekoäly suorittaa kohdistuksen hänen puolestaan.
Miten slopsquatting-hyökkäys etenee
Hyökkäysketju on lyhyt, mikä on osasyy sen vaarallisuuteen:
- Tarkkailla. Hyökkääjä antaa tekoälykoodausavustajille ohjeita yleisten kehitystehtävien suorittamiseen ja kirjaa lokiin niiden keksittyjen työkalujen nimet, joita ei ole rekisterissä.
- Rekisteröidy. He julkaisevat haitallisen paketin yhdellä noista hallusinoituneista nimistä, puhtaalla README-tiedostolla, uskottavilla metatiedoilla ja asennusskriptiin piilotetulla hyötykuormalla.
- Odota. Kehittäjä (tai autonominen koodausagentti) esittää tekoälytyökalulle samankaltaisen kysymyksen, saa saman hallusinoituneen suosituksen ja suorittaa asentaa.
- Suorittaa. Paketin asennuskoukku laukeaa, vuodattaa salaisuuksia, avaa käänteisen kuoren tai istuttaa takaoven, ja tietomurto jatkuu edelleen koontiversioihin ja tuotantoon.
Autonomiset koodausagentit tekevät vaiheesta 3 paljon todennäköisemmän. Agentti, joka asentaa riippuvuuksia ilman ihmisen tarkistusta, poistaa yhden tarkistuspisteen, jossa kehittäjä olisi voinut pysähtyä ja ajatella: "En ole koskaan kuullutkaan tuosta paketista."
Kuinka paha se oikeasti on?
Pahenee, ei parane. USENIX-tutkimuksessa testattiin 16 mallia, ja silti lähes joka viides suositeltu paketti puuttui, joten tämä ongelma ei rajoitu vanhempiin tai heikompiin työkaluihin. Pelkästään harjoitusdatan pohjalta työskentelevällä koodausavustajalla ei ole mitään keinoa tietää, onko juuri ehdottamansa paketin nimi turvallinen, hallusinoitu vai jo merkitty haittaohjelmaksi: sillä ei ole reaaliaikaista näkymää rekisteriin. Se ei ole laboratorio-odotus. Se on juuri sitä toimintaa, johon kehittäjät nyt luottavat kymmeniä kertoja päivässä.
Myös laiminlyönti skaalautuu toimitusketjun hygienian laajemman romahduksen myötä. Vuonna 2025 suuren volyymin haittaohjelmapaketteja sisältävistä kampanjoista tuli toimitusketjuhyökkäysten perustoimintamalli, kuten Xygenin uudet AppSec-hyökkäystrendit vuodelle 2026 dokumentoivat: hyökkääjät julkaisevat suuria määriä, hyväksyvät nopeat poistot ja luottavat todennäköisyyteen, ja tekoälyhallusinaatiot tarjoavat heille tasaisen määrän korkean konversion nimiä rekisteröitäväksi.
Kuinka puolustautua slopsquattingilta
Epämiellyttävä totuus on, että allekirjoituksiin perustuvat työkalut eivät pysty havaitsemaan tätä. Sivuhuijattu paketti on upouusi; CVE:tä ei ole olemassa, allekirjoitusta ei ole olemassa, ja se voi olla aktiivinen vain tunteja ennen poistamista, mikä on riittävän kauan tuhansien asennuksien keräämiseen. Tehokas puolustus perustuu neljään käytäntöön:
- Älä koskaan asenna tekoälyn ehdottamaa pakettia varmistamatta sen olemassaoloa ja aitoutta. Tarkista todellinen lataushistoria, ylläpitäjä ja arkisto, äläkä vain sitä, että nimi kuulostaa oikealta.
- Havaitse haittaohjelmat käyttäytymisen, ei allekirjoitusten perusteella. Pisteytä paketti julkaisuhetkellä sen asennusaikaisten toimintojen, verkkokutsujen ja hämärrysmallit, joten haitallinen paketti merkitään heti ilmestyessään eikä vasta sen jälkeen, kun se on jo tiedossa.
- Aseta riippuvuuspalomuuri kehittäjien ja rekisterin väliin. Aseta epäilyttävät tai upouudet paketit karanteeniin automaattisesti ennen niiden koontivaihetta sen sijaan, että luottaisit julkiseen rekisteriin oletusarvoisesti.
- Inventoi, mitä tekoälyä järjestelmässäsi käytetään pipeline. Koodausavustajat ja riippuvuuksia asentavat autonomiset agentit ovat osa hyökkäyspintaasi. Tekoälyn osaluettelo (AI-BOM) tekee sen näkyväksi.
Slopsquatting on yksi oire suuremmasta muutoksesta
Slopsquatting on terävin esimerkki laajemmasta kaavasta: tekoäly on nyt sekä koodiasi kirjoittava asia että hyökkääjien osoittama asia toimitusketjussasi. Pelkkä sitä vastaan puolustautuminen ei riitä; se kuuluu osaksi laajempaa strategiaa. Katso koko kuva oppaastamme. Tekoälyn toimitusketjun turvallisuus, joka kattaa haitalliset paketit, MCP-riskitja tekoälyn luomaa koodia sekä niitä käsitteleviä puolustuskeinoja.
Lopeta slopsquatting ennen kuin se saavuttaa koko vartalosi
Tehokkain tapa pysäyttää slopsquattin asentama paketti on se hetki, kun kehittäjä yrittää asentaa sen, ennen kuin asennusskripti edes suoritetaan. Juuri niin Xygeni Shield ei. Shield on kevyt agentti kehittäjän päätepisteessä, joka estää haitalliset paketit asennusvaiheessa käyttämällä Haittaohjelmien ennakkovaroitus (MEW) tuomiot, jotka toimivat ennen kuin mitään allekirjoitusta on olemassa. Kun tekoälyavustaja ehdottaa hallusinoitua riippuvuutta ja kehittäjä suorittaa asentaa, Shield arvioi paketin sitä noudettaessa ja estää sen: haitallinen asennuksen jälkeinen komentosarja ei koskaan suoritu, ja tietoturvatiimi näkee yrityksen täydessä kontekstissa.
Koska MEW pisteyttää paketin toiminnan heti julkaisuhetkellä (asennuksen aikaiset toiminnot, verkkokutsut, hämärrysmallit), Shield havaitsee juuri ne upouudet, vielä allekirjoittamattomat paketit, joista slopsquatting on riippuvainen, sekä typosquattingin, riippuvuussekaannukset ja ylläpitäjän vaarantumisen. Jokainen lohko siirtyy samaan Xygeni-konsoliin kuin koodisi, koontiversiosi ja ajonaikaiset löydökset, joten uusia dashboard eikä uusia toimittajasuhteita, ja Shield toimii olemassa olevan EDR:n rinnalla, ei sitä vastaan.
Aloita ilmaiseksi. Xygenin kehittäjäsopimus on 0 €: 10 repositoriota, 200 skannausta kuukaudessa, jopa 5 avustajaa, ei luottokorttia. Sign up with GitHub, GitLab tai Google ja suorita ensimmäinen skannauksesi alle 10 minuutissa; Shield Päätepisteiden suojaus on tulossa pian kehittäjäsopimukseen.
FAQ
Onko slopsquatting todellinen uhka vai vain teoreettinen?
Se on totta. Tutkija Bar Lanyadon vuonna 2023 tekemässä konseptitodistuksessa nähtiin hallusinoituneen nimen alla paikkamerkkipakkaus (halaava kasvo-cli) ladattiin yli 30 000 kertaa kolmessa kuukaudessa. USENIX Security 2025 -tutkimuksessa havaittiin, että 19.7 % tekoälyn suosittelemista paketeista ei ole olemassa ja 43 % näistä hallusinoiduista nimistä toistuu kehotteissa, mikä tarkoittaa, että hyökkääjät voivat ennustaa ja rekisteröidä ne.
Mitä eroa on slopsquattingilla ja typosquattingilla?
Typosquatting hyödyntää ihmisten tekemiä kirjoitusvirheitä rekisteröimällä suosittujen pakettien kirjoitusvirheitä (pyynnöt varten pyynnöt). Slopsquatting hyödyntää tekoälyn hallusinaatioita rekisteröimällä varmoja mutta vääriä pakettien nimiä, joita suuret kielimallit keksivät. Molempien tavoitteena on huijata kehittäjää asentamaan haitallinen paketti, mutta niiden aseena käyttämä virhe on erilainen.
Voinko luottaa tekoälykoodausavustajien ehdottavan riippuvuuksia?
Ei ilman vahvistusta. Jopa johtavat kaupalliset mallit hallusinoivat paketteja, joita ei ole olemassa, noin 5 % ajasta, ja uudemmat analyysit osoittivat, että lähes 28 % nykyisen mallin riippuvuuspäivitysehdotuksista oli hallusinoitunut. Varmista aina, että ehdotettu paketti on todella olemassa ja laillinen ennen sen asentamista.
Miten suojaan koodikantaani slopsquattingilta?
Tarkista tekoälyn ehdottamat paketit ennen asennusta, havaitse haittaohjelmat niiden toiminnan perusteella julkaisuhetkellä allekirjoituksen odottamisen sijaan, aseta riippuvuuspalomuuri kehittäjien ja julkisten rekistereiden välille ja ylläpidä AI-BOM-luetteloa järjestelmässäsi käynnissä olevista tekoälytyökaluista ja -agenteista. pipeline.
