अगली बार जब कोई एआई असिस्टेंट आपको कोई पैकेज इंस्टॉल करने की सलाह दे, तो क्या आप यह जांचेंगे कि वह वास्तव में मौजूद है या नहीं? अधिकांश डेवलपर ऐसा नहीं करते। सुझाव और सत्यापन के बीच का यही अंतर स्लोपस्क्वैटिंग हमलों की शुरुआत का कारण है, और तीन साल से भी कम समय में, यह खतरा एक शोधकर्ता के प्रूफ ऑफ कॉन्सेप्ट से विकसित होकर स्वायत्त कोडिंग एजेंटों के अंदर रिमोट कोड निष्पादन तक पहुंच गया है। यह लेख स्लोपस्क्वैटिंग के विकास और ऐपसेक और डेवसेकऑप्स टीमों के लिए प्रत्येक चरण के महत्व का विश्लेषण करता है।
क्या आप यहां नए हैं? हमारी प्रारंभिक जानकारी से शुरुआत करें। स्लोपस्क्वैटिंग क्या है और इससे बचाव कैसे करेंफिर समयरेखा देखने के लिए वापस आएं।
एक पैराग्राफ में घटिया हमला
एक स्लोपस्क्वेटिंग हमला यह एक दुर्भावनापूर्ण पैकेज को ऐसे नाम से पंजीकृत करता है जिसे एआई मॉडल अनुमानतः भ्रामक रूप से देखते हैं। जहां टाइपोस्क्वैटिंग मानव द्वारा की गई टाइपिंग की गलतियों का फायदा उठाती है। अनुरोध एसटी अनुरोधोंस्लोपस्क्वैटिंग में मॉडल का ही फायदा उठाया जाता है, जिसमें एक ऐसा विश्वसनीय नाम गढ़ा जाता है जो किसी भी रजिस्ट्री में मौजूद नहीं होता। फिर हमलावर किसी वैध व्यक्ति के ऐसा करने से पहले ही उस नाम पर दावा कर लेता है। यह शब्द पायथन सॉफ्टवेयर फाउंडेशन के सिक्योरिटी डेवलपर-इन-रेजिडेंस सेथ लार्सन द्वारा गढ़ा गया था और एंड्रयू नेस्बिट द्वारा लोकप्रिय बनाया गया। इस पैटर्न को ट्रैक करने लायक बनाने वाली बात यह है कि यह कितनी तेजी से विकसित हुआ है।
स्लोपस्क्वेटिंग विकास
2023: पहला चेतावनी संकेत
सुरक्षा शोधकर्ता बार लान्याडो ने देखा कि कई एलएलएम एक पैकेज की सिफारिश कर रहे थे जिसे कहा जाता है आलिंगनचेहरा-सीएलआईजो मौजूद नहीं है (असली टूल इसके साथ इंस्टॉल होता है) pip install -U “huggingface_hub[cli]”जोखिम को प्रदर्शित करने के लिए, उसने उस काल्पनिक नाम से एक खाली पैकेज अपलोड किया। तीन महीनों के भीतर ही इसे 30,000 से अधिक बार डाउनलोड किया गया, बिना किसी प्रचार के, और वह नकली नाम एक प्रमुख प्रौद्योगिकी कंपनी के शोध से जुड़े एक रिपॉजिटरी के README में भी दिखाई दिया। पैकेज हानिरहित था। लेकिन इससे सबक नहीं मिला: एक काल्पनिक नाम को हथियार के रूप में इस्तेमाल करने के लिए बस थोड़ा सा सुसंगत होना ही काफी है।
2024: ब्लॉग पोस्ट से मुख्यधारा की कवरेज तक
मार्च 2024 में, द रजिस्टर ने एआई मॉडलों द्वारा आत्मविश्वास से सॉफ्टवेयर पैकेज के नाम गढ़ने की रिपोर्ट दी, जिन्हें डेवलपर्स डाउनलोड कर रहे थे, जिनमें से कुछ में मैलवेयर होने की संभावना थी। यह कवरेज तकनीकी रूप से जो खुलासा करती थी, उससे कहीं अधिक महत्वपूर्ण इस बात से थी कि यह क्या संकेत देती थी: आलिंगनचेहरा-सीएलआई यह अब महज एक अनोखी घटना नहीं रह गई थी, बल्कि एक ऐसे गंभीर पैटर्न का पहला संकेत था जिसे मुख्यधारा की तकनीकी प्रेस ने उजागर किया, उस बड़े पैमाने के अध्ययन से पहले जिसने एक साल बाद इसके दायरे की पुष्टि की।
2025: पहला सटीक मापन
यूसेनिक्स सिक्योरिटी 2025 के शोध पत्र "वी हैव अ पैकेज फॉर यू!" (स्प्राकलेन एट अल.) ने 576,000 पायथन और जावास्क्रिप्ट नमूनों पर 16 कोड-जनरेशन मॉडल, वाणिज्यिक और ओपन सोर्स, का परीक्षण किया। इसने स्लोपस्क्वैटिंग को किस्सों से आंकड़ों में बदल दिया:
- अनुशंसित पैकेजों में से 19.7% मौजूद नहीं थे।
- ओपन-सोर्स मॉडल में मतिभ्रम की समस्या व्यावसायिक मॉडलों की तुलना में कहीं अधिक बार (औसतन 21.7%) देखी गई (व्यावसायिक मॉडलों में यह दर 5.2% थी)।
- सबसे खराब अपराधी, कोड लामा 7बी और 34बी, अपने एक तिहाई से अधिक आउटपुट में मतिभ्रम का शिकार हुए।
- सभी मॉडलों में, शोधकर्ताओं ने 205,000 से अधिक अद्वितीय काल्पनिक नामों को दर्ज किया, जो कि पारिस्थितिक तंत्रों में निरंतर अभियानों को बढ़ावा देने के लिए पर्याप्त बड़ा समूह है।
अध्ययन में नकली उत्पादों के निर्माण के तरीके को भी वर्गीकृत किया गया: 38% नकली उत्पाद दो वास्तविक पैकेज नामों को मिलाकर बनाए गए थे (ठीक वही पैटर्न जो बाद में सामने आया)। रिएक्ट-कोडशिफ्ट से jscodeshift और रिएक्ट-कोडमोडइनमें से 13% वास्तविक पैकेजों के टाइपो-शैली वाले रूपांतर थे, और 51% पूरी तरह से मनगढ़ंत थे जो देखने में तो विश्वसनीय लगते हैं लेकिन पूरी तरह से काल्पनिक हैं। रक्षा के लिहाज से पहला समूह सबसे महत्वपूर्ण है, क्योंकि दो वास्तविक उपकरणों से मिलकर बने नाम को पहली नजर में पहचानना सबसे कठिन होता है।
हमलावरों के लिए सबसे महत्वपूर्ण खोज यह है कि मतिभ्रम यादृच्छिक नहीं होते और हर बार नहीं बदलते। जब शोधकर्ताओं ने एक जैसे संकेतों को दस बार दोहराया, तो 43% मतिभ्रमित नाम हर बार दिखाई दिए और 58% एक से अधिक बार दोहराए गए। हमलावर को अनुमान लगाने की ज़रूरत नहीं है। वे मॉडल के व्यवहार का अवलोकन करते हैं, बार-बार दोहराए जाने वाले नामों पर ध्यान देते हैं और उन्हें सबसे पहले दर्ज करते हैं। यही दोहराव एक बार के मतिभ्रम को एक व्यापक हमले में बदल देता है।
2026: पृथक पैकेजों से स्वायत्त एजेंटों तक
इस वर्ष सबसे स्पष्ट प्रमाण सामने आया है कि स्लोपस्क्वैटिंग अब केवल किसी डेवलपर द्वारा सुझाए गए कोड को कॉपी-पेस्ट करने तक ही सीमित नहीं है। एनएमपी स्थापित करें.
जनवरी 2026 में, सुरक्षा शोधकर्ता चार्ली एरिक्सन ने एक भ्रामक एनपीएम पैकेज की खोज की। रिएक्ट-कोडशिफ्टबताया गया है कि एआई द्वारा जनरेट किए गए एजेंट निर्देश पहले ही फोर्क्स के माध्यम से 237 रिपॉजिटरी में फैल चुके थे, और एजेंट अभी भी इसे प्रतिदिन इंस्टॉल करने का प्रयास कर रहे थे। इसकी उत्पत्ति एक ही स्रोत से हुई थी। commit एआई द्वारा लिखित एजेंट कौशल फ़ाइलों की समीक्षा किसी भी इंसान ने नहीं की थी। एरिक्सन ने हमलावर द्वारा इसका दुरुपयोग करने से पहले ही, बचाव के तौर पर, नाम को स्वयं पंजीकृत करा लिया था।
इसके अलावा, एक वास्तव में दुर्भावनापूर्ण पैकेज जिसका नाम है अप्रयुक्त आयातवैध के स्थान पर मतिभ्रम हुआ eslint-plugin-unused-importsएनपीएम द्वारा सुरक्षा रोक लगाए जाने के बाद भी, इसके इंस्टॉलेशन जारी रहे, जिससे पता चलता है कि स्लोपस्क्वैटिंग अटैक को चिह्नित किए जाने के बाद भी वह कितने लंबे समय तक पीड़ितों को ढूंढता रह सकता है।
फिर, जुलाई 2026 में, शोधकर्ताओं ने "हैलूस्क्वैटिंग" नामक एक संबंधित तकनीक का वर्णन किया, जो एक मतिभ्रम को त्वरित इंजेक्शन से जोड़ती है: उपयोगकर्ता की ओर से मतिभ्रमित संसाधन प्राप्त करने वाले एक एआई कोडिंग एजेंट को हमलावर द्वारा दिए गए कोड को चलाने के लिए हाईजैक किया जा सकता है। यह स्लोपस्क्वैटिंग के विकास को एक निष्क्रिय इंस्टॉलेशन जोखिम से आगे बढ़ाकर एजेंटिक डेवलपमेंट वर्कफ़्लो के भीतर एक सक्रिय रिमोट-कोड-एक्ज़ीक्यूशन वेक्टर में बदल देता है।
“वाइब कोडिंग” ने हमले की सतह को क्यों बढ़ाया
अगर एआई-जनरेटेड कोड सीमित दायरे में ही होता, तो स्लोपस्क्वैटिंग का कोई खास महत्व नहीं होता। लेकिन ऐसा नहीं है। कोडिंग असिस्टेंट, ऑटोनॉमस एजेंट और "वाइब कोडिंग" वर्कफ़्लो के उदय ने, जहां डेवलपर कोड को चलाने से पहले उसकी कम समीक्षा करते हैं, हमले की संभावना को दो ठोस तरीकों से बदल दिया है।
सबसे पहले, अब प्रवेश बिंदु केवल डेवलपर ही नहीं रह गया है। पहले, टाइपिंग की गलती से होने वाला हमला एक व्यक्ति की टाइपिंग की त्रुटि पर निर्भर करता था। अब यह त्रुटि मॉडल के भीतर से उत्पन्न होती है और सैकड़ों डेवलपर्स तक फैल जाती है जो समान प्रश्न पूछते हैं और उन्हें वही भ्रामक सुझाव प्राप्त होता है।
दूसरा, हमले का दायरा श्रृंखला में ऊपर चला गया है। अब केवल किसी इंसान द्वारा लिखे गए कोड पर नज़र रखना पर्याप्त नहीं है। टीमों को AI सहायक द्वारा सुझाई गई निर्भरताओं, उससे जुड़ने वाले MCP सर्वरों और उन एजेंटों पर नज़र रखनी होगी जो बिना किसी मानवीय हस्तक्षेप के पैकेज इंस्टॉल करते हैं। पारंपरिक ऐप सुरक्षा, जो रिपॉजिटरी और मानवीय समीक्षा के लिए बनाई गई थी, अब इस प्रक्रिया में बाधा डालती है। commitइसे डेवलपर, एआई और रजिस्ट्री के बीच उस अंतःक्रिया का निरीक्षण करने के लिए कभी डिज़ाइन नहीं किया गया था, और यही वह जगह है जहां अब स्लोपस्क्वैटिंग छिपी हुई है।
रोकथाम के लिए इसका क्या अर्थ है?
इनमें से कोई भी बात जनरेटिव एआई को स्वाभाविक रूप से असुरक्षित नहीं बनाती। यह एक सप्लाई चेन जोखिम पैदा करता है जिसे पारंपरिक टूलिंग पकड़ने के लिए नहीं बनाई गई थी, और इसके लिए उन सत्यापन सिद्धांतों की आवश्यकता होती है जिन्हें हम पहले से ही किसी भी बाहरी निर्भरता पर लागू करते हैं: डिफ़ॉल्ट रूप से भरोसा न करें, स्रोत को सत्यापित करें, और प्रत्येक डेवलपर की स्मृति पर निर्भर रहने के बजाय उस सत्यापन को स्वचालित करें। संपूर्ण सुरक्षा रणनीति हमारी गाइड में दी गई है। एआई आपूर्ति श्रृंखला सुरक्षालेकिन संक्षेप में कहें तो, मैन्युअल सत्यापन, हालांकि अभी भी आवश्यक है, उस क्षण से ही अपनी उपयोगिता खो देता है जब कोई भ्रामक नाम एक साथ हजारों डेवलपर्स तक पहुंच सकता है, या कोई एजेंट बिना किसी मानवीय समीक्षा के इसे इंस्टॉल कर सकता है।
एजेंट द्वारा उन्हें स्थापित करने से पहले ही भ्रामक पैकेजों को रोकें
2026 के सभी मामलों में एक समानता है: खतरनाक इंस्टॉलेशन बिना किसी मानवीय हस्तक्षेप के होता है। यही वह सटीक कमी है। ज़ायजेनी Shield के लिए बनाया गया है. Shield यह डेवलपर के एंडपॉइंट पर एक हल्का एजेंट है जो इंस्टॉलेशन के समय ही दुर्भावनापूर्ण पैकेजों को ब्लॉक कर देता है। मैलवेयर अर्ली वार्निंग (एमईडब्ल्यू) ऐसे निर्णय जो किसी भी हस्ताक्षर के अस्तित्व में आने से पहले ही काम करते हैं। जब कोई एआई सहायक या स्वायत्त एजेंट किसी काल्पनिक, हाल ही में पंजीकृत पैकेज को स्थापित करने का प्रयास करता है, Shield यह डेटा प्राप्त होते ही उसका मूल्यांकन करता है और उसे ब्लॉक कर देता है, इसलिए इंस्टॉलेशन स्क्रिप्ट कभी नहीं चलती, चाहे कोई व्यक्ति उसे देख रहा हो या नहीं। प्रत्येक ब्लॉक उसी में प्रवाहित होता है। ज़ायजेनी कंसोल को अपने कोड, बिल्ड और रनटाइम निष्कर्षों के रूप में उपयोग करें, और Shield यह आपके मौजूदा EDR के साथ चलता है, न कि उसके विरुद्ध।
मुफ्त में शुरू करें। Xygeni का डेवलपर प्लान €0 है: 10 रिपॉजिटरी, प्रति माह 200 स्कैन, 5 तक योगदानकर्ता, क्रेडिट कार्ड की आवश्यकता नहीं। Sign up with GitHubGitLab या Google का उपयोग करके 10 मिनट से भी कम समय में अपना पहला स्कैन चलाएं; Shield डेवलपर प्लान में जल्द ही एंडपॉइंट प्रोटेक्शन की सुविधा उपलब्ध होगी।
सामान्य प्रश्न
क्या पैकेज मैनेजर अपने दम पर स्लोपस्क्वैटिंग को रोक सकता है?
पूरी तरह से नहीं। npm का कोलिजन डिटेक्शन मौजूदा पैकेजों से बहुत मिलते-जुलते नामों को ब्लॉक कर देता है, जिससे टाइपोस्क्वेटिंग से बचाव होता है, लेकिन एक काल्पनिक नाम एक बिल्कुल नई स्ट्रिंग होती है जिसमें कोलिजन का पता लगाने की कोई गुंजाइश नहीं होती। अगर कोई हमलावर डेवलपर द्वारा इंस्टॉल किए जाने से पहले ही काल्पनिक पैकेज को रजिस्टर कर लेता है, तो इंस्टॉल बिना किसी त्रुटि के पूरा हो जाता है क्योंकि पैकेज वास्तव में मौजूद होता है। रोकथाम के लिए पैकेज के स्रोत और व्यवहार का सत्यापन आवश्यक है, न कि केवल रजिस्ट्री की अपनी जाँचों का।
2026 के एजेंट मामले पहले के मामलों से किस प्रकार भिन्न हैं?
पहले की घटनाओं में, एक व्यक्ति द्वारा सुझाए गए इंस्टॉलेशन कमांड को कॉपी-पेस्ट किया जाता था। 2026 के मामलों में, स्वायत्त एजेंटों ने बिना किसी मानवीय समीक्षा के काल्पनिक पैकेजों को स्थापित किया या स्थापित करने का प्रयास किया, और हैलुस्क्वैटिंग तकनीक ने एजेंट के वर्कफ़्लो के भीतर दूरस्थ कोड निष्पादन को प्राप्त करने के लिए एक भ्रम को प्रॉम्प्ट इंजेक्शन के साथ जोड़कर और भी आगे कदम बढ़ाया।
