ʻO ka pilikia ma hoʻokahi ʻōlelo
I ka manawa aʻe Paipai ke kōkua AI i kahi pūʻolo e hoʻokomo, e nānā maoli anei ʻoe inā aia kēlā pūʻolo? ʻAʻole i ʻike ka hapa nui o nā mea hoʻomohala. ʻO kēlā hakahaka ma waena o ka manaʻo a me ka hōʻoia kahi e hoʻomaka ai nā hoʻouka kaua slopsquatting, a ʻo ia ke kumu i lilo ai ka hoʻomaopopo ʻana i ka ulu ʻana o ka slopsquatting a me ka pale ʻana i ka slopsquatting i mea nui loa no nā hui AppSec a me DevSecOps.
He aha ka hoʻouka kaua slopsquatting?
ʻO kahi hoʻouka kaua slopsquatting kahi ʻano like ʻole o ke kākau hewa ʻana (ka hana o ke kau inoa ʻana i kahi inoa kikowaena a pūʻolo paha e hoʻohālike ana i kahi inoa kūpono ma o kahi hewa maʻamau, e like me nā noi ma kahi o noi, me ka manaʻolana e hāʻawi pololei ka typo ponoʻī a ka mea hoʻohana iā lākou i ia mea), akā me kahi ʻokoʻa koʻikoʻi ma kahi i hoʻomaka ai ka hewa. Hoʻohana ka Typosquatting i nā hewa kikokiko kanaka. Hoʻohana ka hoʻouka kaua slopsquatting i nā hewa a nā hiʻohiʻona ʻōlelo nui e hana ai: kahi LLM "hallucinates" i kahi inoa pūʻolo e kani kūpono loa akā ʻaʻole i loko o kekahi papa inoa lehulehu, a hiki mua kahi mea hoʻouka ma ke kau inoa ʻana i kēlā inoa pololei ma mua o kekahi me nā manaʻo maikaʻi.
He maʻalahi ke ʻano o ka hoʻouka kaua slopsquatting maʻamau, a ʻo ia maʻalahi ke kumu e pono ai:
- Ke noi nei kekahi mea hoʻomohala i kahi mea kōkua AI e kōkua i ka hoʻoponopono ʻana i kahi pilikia coding.
- Hoʻopuka ke kumu hoʻohālike i kahi hopena e lawe mai a ʻōlelo paha e hoʻokomo i kahi pūʻolo i loaʻa ʻole.
- ʻO kahi mea hoʻouka i ʻike i ka hana hou ʻana o kekahi mau hiʻohiʻona i nā inoa hallucinated like e hoʻopaʻa ana ma npm, PyPI, a i ʻole kekahi papa inoa lehulehu ʻē aʻe, me ke code ʻino i loko. ʻO kēia ka manawa e lilo ai ka hallucination i hoʻouka kaua slopsquatting maoli.
- ʻO ka mea hoʻomohala aʻe e loaʻa ana ka manaʻo like a ʻaʻole hōʻoia, e hoʻokomo i ka pūʻolo maoli i kēia manawa, ʻo ia hoʻi kahi backdoor i ko lākou wahi.
Ua hoʻokumu ʻia ka huaʻōlelo "slopsquatting" e Seth Larson, Security Developer-in-Residence ma ka Python Software Foundation, a ua hoʻolaha ʻia e Andrew Nesbitt, e wehewehe pono i kēia ʻano: ua lilo kahi "package hallucination" i vector hoʻouka.
ʻO ka hoʻomohala ʻana o Slopsquatting: pehea i ulu ai kahi hoihoi noiʻi i mea hoʻoweliweli maoli
ʻO ka mea kupanaha e pili ana i ka ulu ʻana o ka slopsquatting ʻaʻole wale ka manaʻo; pehea ka wikiwiki o kona neʻe ʻana mai kahi nānā noiʻi i kahi papa hoʻouka kaua i palapala ʻia a hiki ke ana ʻia.
2023: ʻO ka hōʻailona mua. ʻO Bar Lanyado, ka mea noiʻi palekana ua ʻike ʻia ua paipai pinepine kekahi mau LLM i kahi pūʻolo i kapa ʻia ʻūmiʻi maka-cli, ʻaʻole i loaʻa (ua hoʻokomo ʻia ka pūʻolo maoli me pip install -U “huggingface_hub[cli]”). No ka hōʻike ʻana i ka pilikia, ua hoʻouka ʻo ia i kahi mana hakahaka o kēlā pūʻolo i kahi papa inoa lehulehu. I loko o ʻekolu mahina, ua loaʻa iā ia ma mua o 30,000 mau hoʻoiho, me ka ʻole o ka hoʻolaha. Ua ʻike ʻia ka inoa hoʻopunipuni i loko o ka README o kahi waihona i pili i ka noiʻi mai Alibaba, e hōʻike ana i ke ʻano o ka hiki ʻana o kēia mau inoa "hoʻopunipuni" i loko o nā palapala maoli a hoʻonohonoho i ke kahua no nā hoʻouka kaua slopsquatting e hiki mai ana.
2024: Neʻe ka pilikia mai ka pou blog a kahi mea noiʻi i ka uhi ʻenehana nui. Ma Malaki 2024, Ke kākau inoa ua hōʻike ʻia e pili ana i ke ʻano o ka hana ʻana o nā hiʻohiʻona AI me ka hilinaʻi i nā inoa pūʻolo polokalamu a nā mea hoʻomohala e hoʻoiho nei, a laila ua make paha kekahi o lākou me ka malware. ʻAʻole nui kēlā uhi no ka mea i hōʻike ʻia ma ke ʻano loea a ʻoi aku no ka mea i hōʻailona ʻia: ʻaʻole hou ka hihia huggingface-cli he mea hoihoi hoʻokahi; ʻo ia ka hōʻailona mua o kahi ʻano koʻikoʻi no ka pāpāho ʻenehana nui e hōʻike, ma mua o ke aʻo ʻana i ka hoʻonaʻauao nui e hōʻoia i ka laulā i hoʻokahi makahiki ma hope.
2025: ʻO ke ana mua a paʻa hoʻi o ka pilikia ma ka pae nui. Ka pepa "Loaʻa iā mākou kahi pūʻolo no ʻoe! He loiloi piha o nā hallucinations pūʻolo e nā LLM e hana ana i ke code" (Spracklen et al., i hōʻike ʻia ma ka Palekana USENIX Ua hoʻāʻo ʻo Symposium) i 16 mau hiʻohiʻona hanauna code, ʻo nā mea kālepa (GPT-4, GPT-3.5) a me nā kumu wehe (CodeLlama, DeepSeek, WizardCoder, Mistral), ma waena o 576,000 mau laʻana code Python a me JavaScript. Hōʻailona nā ʻike i kahi kiko maopopo i ka ulu ʻana o ka slopsquatting, e neʻe ana mai ka anecdote i ka ʻikepili:
- 19.7% ʻaʻole i loaʻa kekahi o nā pūʻolo i ʻōlelo ʻia e nā kumu hoʻohālike.
- Ua hoʻopunipuni pinepine ʻia nā hiʻohiʻona open-source (21.7% ma ka awelika) ma mua o nā kumu hoʻohālike kalepa (5.2%).
- ʻO nā mea hana hewa ʻino loa, ʻo CodeLlama 7B lāua ʻo CodeLlama 34B, ua hana lākou i nā hallucinations ma mua o ka hapakolu o kā lākou hana.
- Ma nā ʻano hoʻohālike a pau i hoʻāʻo ʻia, ua komo nā mea noiʻi 205,000 mau inoa pūʻolo hallucinated kūikawā, kahi loko i lawa ka nui e hoʻoulu ai i nā hoʻouka kaua slopsquatting mau ma nā ʻano kaiaola like ʻole.
- Hoʻokahi kikoʻī e pili pono ana no ka pale ʻana: ma kahi o 38% o nā inoa i hoʻopunipuni ʻia ua like loa ia me nā pūʻolo maoli, kahi e hoʻemi ai i ka manawa kūpono e ʻike koke ʻia ai lākou.
ʻO kahi kikoʻī koʻikoʻi mai ke aʻo ʻana, a ʻo ia paha ke kumu i wikiwiki ai ka ulu ʻana o ka slopsquatting ma mua o ka nalowale ʻana, ʻo ia ka mea ʻaʻole i hana hewa nā inoa hallucinated, a ʻaʻole lākou e loli i kēlā me kēia hoʻāʻo. Hoʻohana pinepine nā hiʻohiʻona like i nā inoa i hana ʻia i ka wā e hāʻawi ʻia ai nā ʻōkuhi like, ʻo ia hoʻi, ʻaʻole pono ka mea hoʻouka e kuhi. Pono lākou e nānā i ke ʻano o ka hiʻohiʻona, ʻike i nā inoa e hoʻomau nei i ka hana hou ʻana, a hoʻopaʻa inoa iā lākou ma mua o ka hana ʻana o kahi mea hoʻomohala maoli. Ua ʻike ʻia ka loiloi hahai o kēia hana hou ʻana i ka wā i holo hou ai nā mea noiʻi i nā ʻōkuhi like he ʻumi manawa i kēlā me kēia, 43% o nā inoa pūʻolo hallucinated i hōʻike ʻia ma kēlā me kēia holo, a 58% i hana hou ʻia ma mua o hoʻokahi manawa, he hōʻike ia he hapa nui o nā hallucinations he mau mea hana hou ʻia ma mua o ka walaʻau hoʻokahi. ʻO kēlā hana hou ʻana ka mea e hoʻololi ai i kahi hallucination hoʻokahi i kahi hoʻouka kaua slopsquatting scalable.
2026: Mai nā pūʻolo i hoʻokaʻawale ʻia a i nā ʻelele kūʻokoʻa. Ua hōʻike mai kēia makahiki i nā hōʻike maopopo loa ʻaʻole i kaupalena ʻia ka slopsquatting i kahi mea hoʻomohala e kope ana i kahi mea i manaʻo ʻia hoʻokomo pip or npm hoʻokomo kauoha. I Ianuali 2026, ua noiʻi Charlie Eriksen ma Aikido Security ua ʻike ʻia ua hoʻolaha mua nā mea hoʻolaha coding AI i nā ʻōkuhi e pili ana i kahi pūʻolo npm hallucinated, hoʻololi-code-react (kahi inoa e hoʻohui pū ana i ʻelua mau mea hana maoli, jscodeshift a react-codemod), ma waena o 237 mau waihona, me nā ʻelele e hoʻāʻo nei e hoʻokomo iā ia i kēlā me kēia lā. Ua hoʻopaʻa inoa ʻo Eriksen i ka inoa iā ia iho, ma ke ʻano pale, ma mua o ka hiki ʻana o ka mea hoʻouka ke hoʻohana i nā mea kaua. Ma ke kaʻawale, he pūʻolo ʻino maoli i kapa ʻia nā mea i lawe ʻole ʻia mai, i manaʻo ʻia he mea hoʻokalakupua ma kahi o ke kūpono nā hoʻokomo-ʻole-i hoʻohana ʻia o ka plugin eslint, ke hoʻopaʻa nei ma kahi o 233 mau hoʻoiho hebedoma i ka hoʻomaka ʻana o 2026 ʻoiai ua kau ʻo npm iā ia ma lalo o kahi paʻa palekana, he hōʻailona o ka lōʻihi o ka hiki ʻana o kahi hoʻouka kaua slopsquatting ke hoʻomau i ka huki ʻana i nā mea i hōʻeha ʻia ma hope o ka hōʻailona ʻia ʻana. ʻO ka mea hou loa, i Iulai 2026, ua wehewehe nā mea noiʻi i kahi ʻenehana pili, i kapa ʻia ʻo "HalluSquatting," e hoʻopaʻa ana i kahi hallucination AI me kahi injection wikiwiki i hiki ai i kahi mea hoʻopili coding AI e kiʻi ana i kahi kumuwaiwai hallucinated ma ka inoa o kahi mea hoʻohana ke hoʻopaʻa ʻia i loko o ka holo ʻana o ke code i hāʻawi ʻia e ka mea hoʻouka, e hoʻonui ana i ka ulu ʻana o ka slopsquatting mai kahi pilikia hoʻonohonoho passive i loko o kahi vector hoʻokō code mamao hana i loko o nā kahe hana hoʻomohala agentic.
No ke aha i hoʻonui ai ka "vibe coding" i ka ʻili no nā hoʻouka kaua slopsquatting
ʻAʻole nui ka manaʻo o nā hoʻouka kaua slopsquatting inā he hana niche ke code i hana ʻia e AI. ʻAʻole ia. ʻO ka piʻi ʻana o nā mea kōkua coding, nā ʻelele kūʻokoʻa, a me nā kahe hana "vibe coding", kahi e loiloi ai nā mea hoʻomohala i ka liʻiliʻi o ke code ma mua o ka holo ʻana, ua hoʻololi i ka ʻili hoʻouka polokalamu ma nā ʻano ʻelua, a ke wikiwiki nei nā mea ʻelua i ka ulu ʻana o ka slopsquatting:
- ʻAʻole wale ka mea hoʻomohala ke kiko komo. ʻO kahi hoʻouka typosquatting i hilinaʻi ʻia ma luna o hoʻokahi kanaka e hana ana i kahi hewa kikokiko. I kēia manawa hiki i ka hewa ke hoʻomaka i loko o ke kumu hoʻohālike ponoʻī a laha i nā haneli o nā mea hoʻomohala like ʻole e nīnau ana i nā nīnau like a loaʻa i ka ʻōlelo aʻoaʻo hallucinated like, e hoʻonui ana i ka hiki o kahi hoʻouka slopsquatting hoʻokahi.
- Ua neʻe aku ka ʻilikai hoʻouka i luna o ke kaulahao. ʻAʻole lawa ka nānā ʻana i ke code a ke kanaka e kākau ai. Pono nō hoʻi nā hui e nānā i nā mea hilinaʻi a ke kōkua AI e hōʻike nei, nā kikowaena MCP e hoʻopili ai, a me nā ʻelele e hoʻokomo i nā pūʻolo me ke kūʻokoʻa me ka ʻole o ka loiloi kanaka pololei. ʻO AppSec kuʻuna, i kūkulu ʻia e nānā i nā waihona a me nā mea hana kanaka commitʻAʻole i hoʻolālā ʻia ʻo s, e nānā i kēia pilina hou ma waena o ka mea hoʻomohala, AI, a me ka papa inoa pūʻolo, ʻo ia kahi e peʻe ai nā hoʻouka kaua slopsquatting.
ʻAʻole kekahi o kēia manaʻo he palekana ʻole ka AI generative. ʻO ia hoʻi, hoʻolauna ia i kahi ʻano pilikia kaulahao lako hou i kūkulu ʻole ʻia e nā mea hana palekana kuʻuna e hopu, a ʻo ia hoʻi e kāhea ana i nā loina hōʻoia like a mākou e hoʻopili ai i kekahi hilinaʻi waho: mai hilinaʻi ma ka paʻamau, e hōʻoia i ke kumu, a e hoʻokele pono i kēlā hōʻoia ma kahi o ka hilinaʻi ʻana i ka hoʻomanaʻo a i ʻole ka makaʻala o kēlā me kēia mea hoʻomohala. ʻO kēlā automation ke kumu o kekahi hoʻolālā pale slopsquatting maoli.
Kāohi ʻana i ka slopsquatting: he aha nā mea hiki i nā hui ke hana i kēia lā
ʻO ka nūhou maikaʻi, ʻaʻole pono ka pale ʻana i ka slopsquatting i nā mea hana exotic. Pono ia e hoʻopili pono i nā hana hoʻomaʻemaʻe hilinaʻi i loaʻa mua, akā he nui nā hui e hoʻomaha i ka manawa a kahi AI a lākou e hilinaʻi nei e "manaʻo" ai i ke code. ʻO kahi ala pale slopsquatting kūpono e hoʻohui pinepine i kēia mau mea:
- E hōʻoia lima i kekahi pūʻolo hou ma mua o ke kau ʻana, ʻoiai ke hele mai ia mai ka manaʻo o kahi mea kōkua AI. E hōʻoia i kona ola ʻana ma ka papa inoa kūhelu, ʻo wai ka mea mālama iā ia, i ka wā i paʻi ʻia ai, a inā paha he ʻoiaʻiʻo kāna mau helu hoʻoiho. ʻO kēia ʻano maʻamau hoʻokahi ke ʻano makepono loa o ka pale ʻana i ka slopsquatting i loaʻa i kekahi hui.
- Mai manaʻo he palekana ke code i hana ʻia e AI ma ka paʻamau. ʻAʻole manaʻo kahi ʻāpana code e "hana" ana he kūpono kona mau hilinaʻi. Pono ka loiloi hilinaʻi e lilo i ʻāpana o ka loiloi code, ʻaʻole he ʻokoʻa ia.
- E hoʻohana i nā faila laka a me ka hōʻoia hash e pine i nā mana kikoʻī a hoʻōki i kahi hōʻano hou leo ʻole mai ka hoʻololi ʻana i kahi pūʻolo ʻokoʻa ma mua o ka mea i nānā mua ʻia.
- E hoʻolaha i ka scan hilinaʻi e hōʻailona ana i nā ʻano pilikia ma mua o nā CVE i ʻike ʻia: nā pūʻolo ʻano ʻē, nā inoa like me nā mea e kū nei, nā mea mālama hou me ka ʻole o ka moʻolelo track, a i ʻole e hoʻokomo i nā script me ke ʻano maʻamau. ʻO kahi pūʻolo i paʻi hou ʻia me ka ʻaneʻane ʻole o ka mōʻaukala e hoʻohālike pono ana i ka inoa o kahi mea "ʻaneʻane" kamaʻāina ʻo ia ke ʻano ma hope o ka hapa nui o nā hoʻouka kaua slopsquatting i hoʻopaʻa ʻia a hiki i kēia manawa.
- E mālama i nā papa inoa lehulehu me ka manaʻo likecism e like me kekahi kumu waho ʻē aʻe i hōʻoia ʻole ʻia. ʻO kaʻoiaʻiʻo hoʻokomo pip or npm hoʻokomo ʻaʻole e hoʻolei i kahi hewa ʻaʻole ia he hōʻoia o ke kūpono.
- E hoʻomaʻamaʻa i nā hui hoʻomohala ma ka ʻoiaʻiʻo ʻaʻole e kāpae ke coding i kōkua ʻia e AI i ke kuleana e hōʻoia i ka mea i hoʻokomo ʻia; hoʻohui wale ia i kahi ʻanuʻu e pono ai ke kūkulu ʻia i loko o ke kaʻina hana ma ke ʻano he ʻāpana o kekahi hoʻolālā pale slopsquatting koʻikoʻi.
ʻAʻohe o kēia mau ana he mea hou ma kāna iho. ʻO ka mea i loli ʻia, ʻo ia ka unahi: i ka wā e puka ʻole mai ai kahi manaʻo hilinaʻi mai Stack Overflow a i ʻole he hoa hana, akā mai kahi kumu hoʻohālike e hiki ke hana hou i ka hewa hallucinated like i nā tausani o nā mea hoʻomohala like ʻole, ʻo ka hōʻoia lima, ʻoiai e pono ana, e pau ka lawa ʻana ma kāna iho. ʻO ia ke kumu e hoʻomaʻamaʻa nei nā hui he nui i kēia papa o ka pale ʻana i ka slopsquatting i loko o kā lākou Ka Nānā ʻana i ka Hoʻonohonoho ʻana o ka Polokalamu (SCA) mea hana, ma mua o ka waiho ʻana iā ia i ka hoʻopaʻi hoʻomohala pākahi.
ʻO kēia ma muacisno ke aha lā ASPM paepae ai like me ʻO Xygeni kūkulu i ka ʻike ʻana i ka hilinaʻi kānalua, e uhi ana i ka typosquatting, ka huikau hilinaʻi, a me nā pūʻolo ʻino i ʻike ʻia, i loko o ka loiloi open-source like a me ka AI-dependency pipeline, no laila, ʻaʻole hilinaʻi ka pale ʻana i ka slopsquatting i kēlā me kēia mea hoʻomohala e hoʻomanaʻo ana e nānā iā ia i kēlā me kēia manawa ke kuhikuhi nei kahi mea kōkua AI i kahi hilinaʻi hou.
Nīnau Hoʻoholo Pine
Ua like anei ka hoʻouka kaua slopsquatting me ka hoʻouka kaua typosquatting?
ʻAʻole loa. Pili nā mea ʻelua i ke kākau inoa ʻana i kahi inoa pūʻolo hoʻopunipuni e hoʻopunipuni i ka mea nāna e hoʻokomo, akā ʻokoʻa ke kumu o ka hewa. Hoʻohana ka Typosquatting i nā hewa paʻi kanaka. Hoʻohana ka hoʻouka kaua slopsquatting i nā inoa pūʻolo i hana ʻia (hallucinated) e nā hiʻohiʻona AI, a laila hoʻopaʻa inoa ka mea hoʻouka ma mua o kona kū maoli ʻana.
Hiki i kahi luna hoʻokele pūʻolo ke pale aku i kēia ʻano hoʻouka kaua?
ʻAʻole piha, ʻo ia ke kumu e hiki ʻole ai ke pale ʻana i ka slopsquatting i ka pae luna hoʻokele pūʻolo. Inā hoʻopaʻa inoa kahi mea hoʻouka i ka pūʻolo hallucinated ma mua o ka hoʻāʻo ʻana o kahi mea hoʻomohala e hoʻokomo iā ia, e hoʻopau ʻia ke kau ʻana me ka ʻole o kekahi hewa no ka mea aia maoli ka pūʻolo, ʻoiai he mea ʻino ia. Pono ka pale kūpono i ka hōʻoia hou ʻana o ke kumu a me ke ʻano o ka pūʻolo.
Ke pili wale nei kēia i nā kumu hoʻohālike open-source?
ʻAʻole. Ua ʻike ka haʻawina ʻo Spracklen et al. i nā hallucinations ma nā kumu hoʻohālike a pau i hoʻāʻo ʻia, me nā mea kālepa, ʻoiai ma kahi helu haʻahaʻa loa (5.2% versus 21.7% no nā kumu hoʻohālike open-source i loiloi ʻia). ʻAʻohe kumu hoʻohālike i kaʻawale loa mai ka pilikia, ʻo ia kekahi o ke kumu e hoʻomau ai ka ulu ʻana o ka slopsquatting me ka ulu ʻana o ke code AI-kōkua holoʻokoʻa.
He pilikia kumumanaʻo paha kēia, a ua hoʻohana mua ʻia paha?
ka ʻūmiʻi maka-cli ʻO ka hihia, kahi pūʻolo hakahaka i hoʻouka ʻia e kahi mea noiʻi i hoʻoiho ʻia ma mua o 30,000 mau manawa i loko o ʻekolu mahina me ka ʻole o ka hoʻolaha ʻana, hōʻike ia ʻaʻole wale ka pilikia he kumumanaʻo: ʻo kahi inoa hallucinated wale nō e pono ke kūlike ma nā ʻōkuhi like ʻole no kekahi e hoʻolilo iā ia i hoʻouka kaua slopsquatting maoli.
