Menene Slopsquatting?

Menene slopsquatting? Hari ne inda masu aikata laifuka ke yin rijistar ainihin sunayen fakitin da mataimakan lambar AI ke yi, sannan su ɗora waɗannan fakitin da malware sannan su jira wani mai haɓakawa ya shigar da su. Ba lamari ne mai wahala ba. A cikin binciken da aka gabatar a Tsaron USENIX 2025, Kashi 19.7% na fakitin da samfuran lambar AI suka ba da shawarar a cikin samfuran lambar 576,000 ba su wanzu ba, kuma masu bincike sun yi rajistar sama da sunaye 205,000 na musamman waɗanda aka yi wa alama a cikin samfuran da aka gwada.

Fahimtar abin da ake nufi da slopsquatting (da kuma yadda ma'anar slopsquatting take a aikace) yana da mahimmanci domin ba wai kawai wani abu ne na AI ba. Slopsquatting shine magajin zamanin AI typosquatting, tare da babban bambanci guda ɗaya: yin rubutu a kan kuskure ya dogara ne akan kuskuren rubutu na ɗan adam, yayin da yin rubutu a kan kuskure ya dogara ne akan kuskuren samfurin, wanda aka maimaita shi yadda ya kamata don mai hari ya yi amfani da shi a sikelin. Wannan jagorar ta bayyana menene slopsquatting, dalilin da yasa yake yaduwa da sauri fiye da yadda bita na fakiti zai iya kama shi, waɗanne haɗari yake haifarwa, da kuma yadda ƙungiyoyi za su iya gano shi da hana shi kafin ya kai ga samarwa.

Ma'anar Slopsquatting: Ma'ana #

Ma'anar Slopsquatting, a hukumance: aikin yin rijistar sunan fakiti wanda babban samfurin harshe ke mafarkin sa, sunan da aka ƙirƙira wanda yake sauti mai yiwuwa amma ba ya wanzu a cikin kowace rajista ta jama'a, da kuma loda shi da lambar mugunta kafin mai haɓaka kayan aiki na gaske ya shigar da shi bisa ga shawarar AI.

Kalmar ta faɗaɗa manufar typosquatting (yin rijistar sunan fakiti wanda ke kwaikwayon ainihin ta hanyar kuskuren rubutu) zuwa takamaiman yanayin gazawar AI na samar da AI. Inda typosquatting ke amfani da typo na ɗan adam, slopsquatting yana amfani da Mafarkin samfurin AIn: mataimakin lambar yana ba da shawarar shigar da pip ko npm don kunshin da ba a taɓa samunsa ba, kuma maharin da ya lura da sunan da aka ƙirƙira yana maimaitawa a cikin tambayoyin da aka yi masa zai fara rajistar sa.

Ma'anar Slopsquatting, a aikace, ita ce: harin sarkar samar da kayayyaki wanda ke mayar da kuskuren samfurin zuwa aikin da ba a buƙata ba, ba tare da wani kuskuren ɗan adam da ake buƙata ba fiye da amincewa da shawarar AI. Ba a ka'ida ba ce. Kunshin mafarki guda ɗaya, wanda aka dasa a matsayin gwaji mai sauƙi a 2023, ya jawo saukarwa sama da 30,000 a cikin watanni uku ba tare da talla ba kuma ya tabbatar da cewa bambance-bambancen mugunta da ke amfani da wannan tsarin suna nan a cikin rajistar jama'a a yau.

Slopsquatting vs Typosquatting: Menene Bambancin? #

Yin amfani da Slopsquatting da typosquatting suna da sakamako iri ɗaya (mai haɓaka software yana shigar da wani mummunan fakiti da yake ganin ya halatta), amma tushen kuskuren ya bambanta sosai.

Yin rubutu ta hanyar rubutu ya dogara ne akan kuskuren rubutu na ɗan adam: mai haɓakawa yana nufin rubuta buƙatu da rubuta buƙatun da ake buƙata, kuma mai hari wanda ya yi rijistar sunan da ba a rubuta ba yana jira. Hadarin yana da alaƙa da bugun maɓalli na mai haɓakawa, lokaci ɗaya na rashin kulawa.

Slopsquatting yana kawar da kuskuren ɗan adam gaba ɗaya kuma yana maye gurbinsa da kuskuren samfurin, wanda ke maimaitawa a sikelin a duk wani mai haɓaka wanda ya sami irin wannan tambayar. Binciken da aka yi a baya ya gano cewa lokacin da masu bincike suka sake yin irin wannan tambayar sau goma kowannensu, kashi 43% na sunayen fakitin da aka yi mafarkin sun bayyana a kowane gudu ɗaya, kuma kashi 58% sun sake faruwa fiye da sau ɗaya. Wannan maimaitawa shine abin da ke sa slopsquatting ya zama abin amfani: mai hari ba ya buƙatar yin hasashen kuskuren rubutu. Suna buƙatar kawai su lura da wane suna da aka yi mafarkin da samfurin ke maimaitawa kuma su yi rijista kafin ainihin mai haɓaka ya yi.

Babban bambanci shine sikelin. Kunshin da aka yi amfani da typosquat yana jiran haɗarin bugawa. Kunshin da aka yi amfani da slopsquat yana jiran shawarar da aka samar daga AI don isa ga mai haɓakawa na gaba, da wanda ke bayan haka, da wanda ke bayan haka, a kowace ƙungiya ta amfani da samfurin iri ɗaya.

Me Yasa Slopsquatting Ya Yaɗu? #

Slopsquatting yana yaduwa saboda wannan dalili da yasa typing squatting koyaushe yake da shi: masu kai hari suna amfani da tsarin da ake iya faɗi wanda masu haɓaka suka amince da shi ta hanyar tsoho. Abin da ke sabo shine girman aminci.

Bunkasar lambar coding da taimakon AI, wakilan masu zaman kansu, da kuma ayyukan "vibe coding", inda masu haɓakawa ke duba ƙarancin lambar kafin su gudanar da ita, sun canza yanayin harin software ta hanyoyi biyu masu mahimmanci:

Batun shiga ba shine kawai mai haɓaka ba. Harin rubut ya dogara ne akan kuskuren rubutu na mutum ɗaya. Slopsquatting na iya farawa a cikin samfurin kanta kuma ya yaɗu zuwa ɗaruruwan masu haɓaka daban-daban waɗanda ke yin tambayoyi iri ɗaya kuma suna karɓar shawara iri ɗaya ta hanyar mafarki, yana ninka ikon hari ɗaya.

Fagen harin ya ƙara hauhawa. Bai isa a sake duba lambar da ɗan adam ke rubutawa ba. Ƙungiyoyi kuma suna buƙatar lura da abubuwan da mataimakin AI ya ba da shawara, sabar MCP da yake haɗawa da su, da kuma wakilan da ke shigar da fakiti kai tsaye ba tare da sake duba ɗan adam kai tsaye ba. AppSec na Gargajiya, an gina shi don sake duba ma'ajiyar bayanai da kuma ɗan adam. commits, ba a taɓa tsara shi don lura da wannan sabon hulɗa tsakanin mai haɓakawa, AI, da rajistar fakiti ba, wanda shine ainihin inda slopsquatting ke ɓoye.

Haɗarin Slopsquatting #

Yin tsalle-tsalle a kan ƙafa yana haifar da haɗari a fannoni daban-daban da ke haɗa juna, kuma yanayin yana ƙara sauri maimakon rage gudu.

• Ana iya maimaita amfani da shi. Saboda sunayen da aka yi mafarki ba su da tsari, sunan bogi iri ɗaya yana sake bayyana a cikin zaman tattaunawa da samfura. Masu kai hari ba sa buƙatar yin zato; kawai suna buƙatar lura da halayen samfura kuma suna yin rijistar sunayen da ke ci gaba da maimaitawa, suna mai da mafarkin sau ɗaya zuwa hari mai iya canzawa.
• Yaɗuwar wakili. Slopsquatting ba ya takaita ga mai haɓaka software wanda ke kwafi-manna umarnin shigarwa da aka ba da shawarar ba. A watan Janairun 2026, masu bincike sun gano cewa wakilan lambar AI sun riga sun yaɗa umarnin da ke nuni da fakitin npm mai ban mamaki a cikin ma'ajiyar bayanai 237, tare da wakilai har yanzu suna ƙoƙarin shigar da shi kowace rana, babu wani mutum da ke cikin matsala da zai iya kama kuskuren.
• Gujewa kamanceceniya da suna. Kusan kashi 38% na sunayen da aka yi mafarkin su suna kama da ainihin fakiti, wanda hakan ke rage yiwuwar mai haɓaka ya ga maye gurbin a kallo ɗaya. Kunshin mugunta da ke nisantar da harafi ɗaya daga dogaro mai aminci ba ya kama da abin zargi; yana kama da kuskuren rubutu da za ka yi da kanka.
• Ci gaba da fallasa bayan an gano cutar. Wani fakitin da aka yi mafarkin gani wanda ya maye gurbin ingantaccen plugin ɗin ESLint har yanzu yana rikodin saukarwa na mako-mako ko da bayan rajistar ta sanya shi ƙarƙashin riƙewar tsaro, shaidar cewa yiwa fakitin alama ba ya hana shigar da shi nan take.

Inda Slopsquatting ke Ɓoyewa #

Abu mafi wahala na kama slopsquatting shine cewa ba ya kama da hari a lokacin da ya faru; yana kama da shigar pip ko shigarwar npm na yau da kullun an kammala shi cikin nasara, saboda kunshin yana wanzuwa da gaske da zarar maharin ya yi rijista.

Slopsquatting yawanci yana shiga ta hanyar:

• Mataimakan AI na coding da kuma matukin jirgi. Shawarar farko, sunan fakiti da aka ƙirƙira tare da lambar aiki mai inganci, ita ce inda raunin ya samo asali. Babu wani abu game da lambar da ke kewaye da ita da ya yi kama da ba daidai ba, domin yawanci ba haka yake ba; dogaro kawai karya ne.
• Wakilan coding masu zaman kansu. Ayyukan aiki na wakilai waɗanda ke shigar da abubuwan dogaro ba tare da bita na ɗan adam ba suna cire wurin bincike ɗaya, mai haɓakawa yana tsayawa don tabbatar da suna, wanda in ba haka ba zai kama fakitin da aka yi mafarki kafin ya isa ga wani aiki.
• Manajan fakiti ba tare da matakin tabbatarwa ba. Shigarwar pip ko shigarwar npm ba ta haifar da kuskure ba idan kunshin da aka nufa ya kasance kuma yana da lahani. Shigarwar tana kammalawa akai-akai saboda, daga hangen mai sarrafa kunshin, babu abin da ke da matsala.

Yadda Ake Ganowa da Hana Yin Slopsquatting #

Hana yin slop squatting ba ya buƙatar kayan aiki na musamman. Yana buƙatar amfani da hanyoyin tsaftace jiki waɗanda suka riga suka wanzu, a tsari, maimakon sassauta su da zarar AI ta "ba da shawarar" lambar.

Tabbatar da kowace sabuwar fakiti kafin shigar da ita, musamman wanda mataimakin AI ya ba da shawara. Tabbatar da cewa yana cikin rajistar hukuma, wanda ke kula da shi, lokacin da aka buga shi, da kuma ko lambobin saukarwarsa sun yi kama da na gaske.

Kada a taɓa ɗauka cewa lambar da aka samar da AI tana da aminci ta hanyar tsohoLambar da ke "aiki" ba yana nufin dogaro da ita halal ne ba. Ya kamata bitar dogaro da kai ta zama wani ɓangare na bitar lambar, ba keɓancewa ba.

Yi amfani da na'urar daukar hoto ta hanyar dogaro da kai wadda ke nuna alamun haɗari fiye da CVEs da aka sani: fakiti marasa kyau, sunaye masu kama da waɗanda ake da su a yanzu, sabbin masu kula da su ba tare da tarihin aiki ba, ko shigar da rubutun da ke da halaye na musamman.

Yi amfani da AI-SPM a matsayin matakin shugabanci. Tsarin Gudanar da Matsayi na Tsaron AI shine tsarin da aka tsara don kama irin wannan haɗarin da AI ta gabatar a sikelin, yana ci gaba da gano abubuwan da AI ke ba da shawara da kuma sanya su a kan maki kafin mutum ya tuna ya duba da hannu.

Kare Kai daga Slopsquatting Tare da Xygeni #

Ba za a iya hana yin amfani da na'urar rage gudu ta hanyar lura da masu haɓakawa kaɗai ba. Manufar da ke cewa "tabbatar da kowace kunshin da aka ba da shawarar AI" ba ta faɗaɗa a cikin ƙungiya inda shawarwarin dogaro suka zo da sauri fiye da yadda kowace hanyar bita ta ɗan adam za ta iya ci gaba da aiki.

Xygeni's hanyar magance wannan a matsayin matsalar ganowa ta ci gaba: AI Inventory da AI BOM saman kowane AI-gabatar dogaro a fadin SDLC, yana ba ƙungiyoyi tarihin rayuwa na abin da mataimakin AI ya ba da shawara da kuma shigar. Xygeni Shield, wanda aka ƙarfafa ta MEW (Gargaɗin Farko na Malware), yana gano kuma yana toshe fakitin da ba su da kyau, gami da waɗanda ba su da kyau, kafin a sami sa hannu, yana rufe ainihin gibin da na'urorin daukar hoto masu amfani da sa hannu ke barin a buɗe.

Idan ƙungiyoyinku suna amfani da mataimakan AI na coding, matsalar slopsquatting ta riga ta kasance. Tambayar ita ce ko za a kama sunan da aka saba gani kafin a shigar da shi.

FAQ #