En 2023, un chercheur en sécurité nommé Bar Lanyado a mené une expérience discrète. Il a remarqué que les assistants de programmation IA recommandaient sans cesse un package Python appelé huggingface-cliIl créa un paquet qui n'existait pas. Alors il le créa : un espace réservé vide, téléchargé sous le nom exact que les modèles étaient en train d'inventer. Il n'y ajouta aucune fonctionnalité ni aucune donnée. Il attendit, tout simplement.
En trois mois, le paquet avait été téléchargé plus de 30 000 fois. La commande d'installation falsifiée s'était même retrouvée dans le fichier README d'un dépôt public appartenant à une grande entreprise technologique. Le paquet de Lanyado était inoffensif. Mais l'expérience a révélé un fait troublant : un attaquant peut prédire ce qu'une IA va inventer, l'enregistrer au préalable et laisser les développeurs l'installer eux-mêmes. Cette technique a désormais un nom. slopsquattinget c'est l'une des menaces qui croissent le plus rapidement dans la chaîne d'approvisionnement des logiciels.
Qu'est-ce que le slopsquatting ?
Le squatting est une attaque de la chaîne d'approvisionnement dans lequel un attaquant enregistre un logiciel malveillant sous un nom que les assistants de programmation IA hallucinent de manière prévisible. Lorsqu'un développeur demande de l'aide à un outil d'IA et que celui-ci suggère d'installer une dépendance qui semble plausible mais qui n'existe pas, l'attaquant a déjà revendiqué ce nom dans le registre public ; la suggestion « utile » installe donc un logiciel malveillant au lieu de rien.
Le terme était inventé en avril 2025 par Seth Larson, développeur de sécurité en résidence à la Python Software Foundation. C'est un jeu de mots sur le typosquattage, l'attaque plus ancienne où les criminels enregistrent des fautes d'orthographe dans les noms de paquets populaires (demandes au lieu de demandesLa différence réside dans la source de l'erreur : le typosquatting exploite les fautes de frappe humaines, tandis que le slopsquatting exploite les « erreurs » de l'IA : la production confiante, fluide et erronée que produisent les grands modèles de langage.
Pourquoi le squat fonctionne réellement
On pourrait croire que les hallucinations de l'IA ne sont que du bruit aléatoire : un nom fictif différent à chaque fois, impossible à exploiter à des fins malveillantes. La recherche démontre le contraire, et c'est précisément là l'enjeu.
Une étude évaluée par des pairs présentée à USENIX Sécurité 2025 (Spracklen et al.) Seize grands modèles de langage ont été testés sur 576 000 exemples de code générés. Il s’est avéré que 19.7 % des paquets recommandés étaient inexistants : soit 205 474 noms hallucinés uniques au total. Plus important encore, ces hallucinations étaient… répétable43 % des faux noms sont réapparus lors de requêtes répétées, et 58 % sont réapparus lors de dix exécutions de la même requête. Les modèles open source ont généré des noms de paquets erronés dans 21.7 % des cas ; même les modèles commerciaux comme GPT-4 l’ont fait dans 5.2 % des cas, soit une fois sur vingt.
C'est la répétabilité qui transforme une anomalie en attaque. Un attaquant n'a plus besoin de deviner. Il peut exécuter des requêtes courantes, enregistrer les paquets inexistants suggérés par les modèles et les identifier comme logiciels malveillants. L'IA se charge du ciblage.
Comment se déroule une attaque par squat ?
La chaîne d'attaque est courte, ce qui explique en partie sa dangerosité :
- Observer. L'attaquant sollicite des assistants de programmation IA pour des tâches de développement courantes et enregistre les noms de paquets inventés par ces outils mais qui n'existent pas dans le registre.
- Inscrivez-vous. Ils publient un paquet malveillant sous l'un de ces noms hallucinés, avec un fichier README propre, des métadonnées plausibles et une charge utile cachée dans un script d'installation.
- Attendez. Un développeur (ou un agent de programmation autonome) pose une question similaire à un outil d'IA, reçoit la même recommandation erronée et exécute le programme. installer.
- Exécuter. Le programme d'installation du package se déclenche, exfiltrant des secrets, ouvrant un shell inversé ou installant une porte dérobée, et la compromission se propage en aval dans les builds et en production.
Les agents de codage autonomes rendent l'étape 3 beaucoup plus probable. Un agent qui installe les dépendances sans vérification humaine supprime le seul point de contrôle où un développeur aurait pu s'arrêter et se dire : « Je n'ai jamais entendu parler de ce paquet. »
À quel point est-ce grave, en réalité ?
La situation empire. L'étude USENIX, qui a testé 16 modèles, a constaté que près d'un paquet recommandé sur cinq était introuvable. Ce problème ne se limite donc pas aux outils anciens ou moins performants. De plus, un assistant de programmation, se basant uniquement sur des données d'entraînement, est incapable de savoir si le nom de paquet qu'il vient de suggérer est sûr, erroné ou déjà signalé comme malveillant : il n'a aucune visibilité en temps réel sur le registre. Il ne s'agit pas d'une simple curiosité de laboratoire, mais du comportement précis auquel les développeurs s'appuient désormais des dizaines de fois par jour.
Le slopsquatting s'intensifie également avec la dégradation générale de la sécurité des chaînes d'approvisionnement. En 2025, les campagnes massives de distribution de paquets malveillants sont devenues le modèle opérationnel de base des attaques contre les chaînes d'approvisionnement, comme le documente l'étude de Xygeni sur les nouvelles tendances en matière de sécurité des applications pour 2026 : les attaquants publient en masse, acceptent des suppressions rapides et s'appuient sur les probabilités, tandis que des hallucinations d'IA leur fournissent un flux constant de noms de domaine à fort taux de conversion à enregistrer.
Comment se défendre contre le squattage
La vérité, aussi dérangeante soit-elle, est que les outils basés sur les signatures ne peuvent pas détecter ce type de problème. Un package installé illégalement est tout nouveau ; il n’existe aucune CVE, aucune signature, et il peut n’être actif que quelques heures avant d’être supprimé, un laps de temps suffisant pour générer des milliers d’installations. Une défense efficace repose sur quatre pratiques :
- N’installez jamais un paquet suggéré par une IA sans vérifier son existence et sa légitimité. Vérifiez l'historique de téléchargement réel, le responsable et le dépôt, et ne vous fiez pas seulement à la sonorité du nom.
- Détectez les logiciels malveillants par leur comportement, et non par leurs signatures. Évaluer un paquet au moment de sa publication en fonction de ses actions lors de l'installation, de ses appels réseau et motifs d'obscurcissement, de sorte qu'un paquet malveillant est signalé dès son apparition plutôt qu'après qu'il soit déjà connu.
- Mettez en place un pare-feu de dépendances entre les développeurs et le registre. Mettre en quarantaine automatiquement les paquets suspects ou tout nouveaux avant qu'ils ne soient compilés, au lieu de faire confiance par défaut au registre public.
- Faites l'inventaire des IA exécutées dans votre système. pipeline. Les assistants de programmation et les agents autonomes qui installent des dépendances font partie de votre surface d'attaque. Nomenclature IA (AI-BOM) rend cela visible.
Le squat est un symptôme d'un changement plus profond.
Le slopsquatting est l'exemple le plus frappant d'une tendance plus générale : l'IA est désormais à la fois celle qui écrit votre code et celle que les attaquants ciblent dans votre chaîne d'approvisionnement. Se défendre contre ce phénomène isolément ne suffit pas ; il doit s'inscrire dans une stratégie plus globale. Pour une vue d'ensemble, consultez notre guide. sécurité de la chaîne d'approvisionnement en IA, qui couvre les paquets malveillants, Risques liés au MCPet le code généré par l'IA, ainsi que les mécanismes de défense qui le contrent.
Arrêtez de vous accroupir avant que cela n'affecte votre constitution
Le moyen le plus efficace d'empêcher l'installation d'un paquet illégalement installé est d'intervenir au moment où un développeur tente de l'installer, avant même l'exécution du script d'installation. Voilà ce que Xygéni Shield t. Shield est un agent léger installé sur le poste du développeur qui bloque les paquets malveillants lors de leur installation, en utilisant Alerte précoce de logiciels malveillants (MEW) Des verdicts qui fonctionnent avant même toute signature. Lorsqu'un assistant IA suggère une dépendance illusoire et que le développeur exécute installer, Shield Le système évalue le paquet au fur et à mesure de sa récupération et le bloque : le script malveillant de post-installation ne s’exécute jamais et l’équipe de sécurité constate la tentative dans son contexte complet.
Parce que MEW évalue le comportement d'un paquet dès sa publication (actions lors de l'installation, appels réseau, modèles d'obfuscation), Shield Il détecte précisément les nouveaux paquets sans signature dont dépend le slopsquatting, ainsi que le typosquatting, les erreurs de dépendance et les compromissions des mainteneurs. Chaque bloc est intégré à la même console Xygeni que votre code, vos résultats de compilation et d'exécution ; il n'y a donc pas de nouveautés. dashboard et aucune nouvelle relation avec un fournisseur, et Shield Il fonctionne en parallèle de votre système EDR existant, et non en opposition à celui-ci.
Commencez gratuitement. Le forfait Développeur de Xygeni est à 0 € : 10 dépôts, 200 analyses par mois, jusqu'à 5 contributeurs, sans carte de crédit. Sign up with GitHub, GitLab ou Google et exécutez votre première analyse en moins de 10 minutes ; Shield La protection des terminaux sera bientôt disponible dans le plan Développeur.
QFP
Le squattage est-il une menace réelle ou seulement théorique ?
C'est réel. Une preuve de concept réalisée en 2023 par le chercheur Bar Lanyado a vu apparaître un paquet provisoire sous un nom halluciné (huggingface-cliCe logiciel a été téléchargé plus de 30 000 fois en trois mois. Une étude USENIX Security 2025 a révélé que 19.7 % des logiciels recommandés par l’IA n’existent pas et que 43 % de ces noms erronés se répètent dans les invites, ce qui signifie que les attaquants peuvent les prédire et les enregistrer.
Quelle est la différence entre le slopsquatting et le typosquatting ?
Le typosquatting exploite les fautes de frappe humaines en enregistrant des noms de paquets populaires mal orthographiés (demandes pour demandesLe slopsquatting exploite les hallucinations de l'IA en enregistrant les noms de paquets erronés mais fiables que les grands modèles de langage inventent. Les deux techniques visent à piéger un développeur pour qu'il installe un paquet malveillant, mais l'erreur qu'elles exploitent est différente.
Puis-je faire confiance aux assistants de programmation IA pour suggérer des dépendances ?
Il est impératif de vérifier. Même les principaux logiciels commerciaux proposent des paquets inexistants dans environ 5 % des cas, et une analyse récente a révélé que près de 28 % des suggestions de mise à jour de dépendances d'un logiciel actuel étaient erronées. Assurez-vous toujours de l'existence et de la légitimité d'un paquet suggéré avant de l'installer.
Comment protéger mon code source contre le slopsquatting ?
Vérifiez les paquets suggérés par l'IA avant de les installer, détectez les logiciels malveillants en fonction de leur comportement dès la publication plutôt que d'attendre une signature, mettez en place un pare-feu de dépendances entre les développeurs et les registres publics, et tenez à jour un inventaire AI-BOM des outils et agents d'IA exécutés dans votre environnement. pipeline.
