Lain kali asisten AI merekomendasikan paket untuk diinstal, apakah Anda akan memeriksa apakah paket tersebut benar-benar ada? Sebagian besar pengembang tidak melakukannya. Kesenjangan antara saran dan verifikasi inilah yang menjadi awal serangan slopsquatting, dan dalam waktu kurang dari tiga tahun, ancaman tersebut telah berkembang dari bukti konsep seorang peneliti menjadi eksekusi kode jarak jauh di dalam agen pengkodean otonom. Artikel ini menelusuri evolusi slopsquatting dan apa arti setiap tahapannya bagi tim AppSec dan DevSecOps.
Baru di sini? Mulailah dengan panduan singkat kami tentang... Apa itu slopsquatting dan bagaimana cara melindungi diri darinya?, lalu kembali lagi untuk melihat garis waktu.
Serangan slopsquatting dalam satu paragraf
Serangan jongkok Mendaftarkan paket berbahaya dengan nama yang secara mudah diprediksi oleh model AI. Di mana typosquatting mengeksploitasi kesalahan pengetikan manusia permintaan untuk permintaanSlopsquatting memanfaatkan model itu sendiri dengan menciptakan nama yang masuk akal yang tidak ada di registri mana pun, kemudian penyerang mengklaim nama persis itu sebelum siapa pun yang sah melakukannya. Istilah ini diciptakan oleh Seth Larson, Security Developer-in-Residence di Python Software Foundation, dan dipopulerkan oleh Andrew Nesbitt. Yang membuat pola ini layak dilacak adalah seberapa cepat perkembangannya.
Evolusi jongkok
2023: tanda peringatan pertama
Peneliti keamanan Bar Lanyado memperhatikan bahwa beberapa LLM terus merekomendasikan sebuah paket bernama memeluk wajah-cli, yang tidak ada (alat sebenarnya diinstal dengan pip install -U “huggingface_hub[cli]”Untuk menunjukkan risikonya, ia mengunggah paket kosong dengan nama fiktif tersebut. Dalam waktu tiga bulan, paket itu telah diunduh lebih dari 30,000 kali, tanpa promosi sama sekali, dan nama palsu itu bahkan muncul di README sebuah repositori yang terkait dengan penelitian dari perusahaan teknologi besar. Paket itu tidak berbahaya. Namun, pelajarannya berbeda: nama fiktif hanya perlu cukup konsisten agar seseorang dapat memanfaatkannya sebagai senjata.
2024: dari postingan blog hingga liputan arus utama
Pada Maret 2024, The Register melaporkan tentang model AI yang dengan percaya diri menciptakan nama paket perangkat lunak yang kemudian diunduh oleh para pengembang, beberapa di antaranya berpotensi terinfeksi malware. Liputan tersebut lebih penting karena pesan yang disampaikannya daripada apa yang diungkapkan secara teknis: memeluk wajah-cli Hal itu bukan lagi sekadar kejadian aneh yang terisolasi, melainkan tanda pertama dari sebuah pola yang cukup serius sehingga media teknologi arus utama mulai menyorotinya, sebelum studi skala besar yang akan mengkonfirmasi cakupannya setahun kemudian.
2025: pengukuran ketat pertama
Makalah USENIX Security 2025 “We Have a Package for You!” (Spracklen dkk.) menguji 16 model pembuatan kode, komersial dan sumber terbuka, di seluruh 576,000 sampel Python dan JavaScript. Makalah ini mengubah praktik slopsquatting dari anekdot menjadi data:
- 19.7% dari paket yang direkomendasikan tidak ada.
- Model sumber terbuka mengalami halusinasi jauh lebih sering (rata-rata 21.7%) dibandingkan model komersial (5.2%).
- Pelaku terburuk, CodeLlama 7B dan 34B, mengalami halusinasi di lebih dari sepertiga hasil keluaran mereka.
- Di semua model, para peneliti mencatat lebih dari 205,000 nama halusinasi unik, kumpulan yang cukup besar untuk mendukung kampanye berkelanjutan di berbagai ekosistem.
Studi ini juga mengkategorikan bagaimana produk palsu tersebut terbentuk: 38% merupakan gabungan dari dua nama kemasan asli (persis seperti pola yang kemudian menghasilkan...). react-codeshift dari jscodeshift ke react-codemod), 13% merupakan varian bergaya salah ketik dari kemasan asli, dan 51% adalah rekayasa murni yang masuk akal tetapi sepenuhnya dibuat-buat. Kelompok pertama ini paling penting untuk pertahanan, karena nama yang digabungkan dari dua alat asli adalah yang paling sulit dikenali sekilas.
Temuan terpenting bagi penyerang: halusinasi bukanlah acak dan tidak berubah pada setiap percobaan. Ketika para peneliti menjalankan ulang perintah yang identik sebanyak sepuluh kali, 43% nama yang dihalusinasi muncul pada setiap percobaan dan 58% muncul lebih dari sekali. Penyerang tidak perlu menebak. Mereka mengamati perilaku model, mencatat nama-nama yang terus muncul, dan mendaftarkannya terlebih dahulu. Pengulangan itulah yang mengubah halusinasi sekali saja menjadi serangan yang dapat diskalakan.
2026: dari paket terisolasi menjadi agen otonom
Tahun ini menghasilkan bukti paling jelas bahwa praktik slopsquatting tidak lagi terbatas pada pengembang yang melakukan copy-paste dari sebuah saran. instalasi npm.
Pada Januari 2026, peneliti keamanan Charlie Eriksen menemukan paket npm hasil halusinasi, react-codeshiftBahwa instruksi agen yang dihasilkan AI telah menyebar ke 237 repositori melalui fork, dengan agen masih mencoba menginstalnya setiap hari. Itu berasal dari satu sumber tunggal. commit dari berkas keterampilan agen yang ditulis oleh AI yang belum ditinjau oleh manusia. Eriksen mendaftarkan nama itu sendiri, sebagai tindakan pencegahan, sebelum penyerang dapat memanfaatkannya sebagai senjata.
Secara terpisah, sebuah paket yang benar-benar berbahaya bernama impor yang tidak digunakan, berhalusinasi sebagai pengganti yang sah plugin eslint impor yang tidak digunakan, terus melakukan instalasi bahkan setelah npm menempatkannya di bawah penangguhan keamanan, menunjukkan betapa lamanya serangan slopsquatting dapat terus menemukan korban setelah ditandai.
Kemudian, pada Juli 2026, para peneliti mendeskripsikan teknik terkait yang disebut "HalluSquatting" yang menggabungkan halusinasi dengan injeksi perintah: agen pengkodean AI yang mengambil sumber daya hasil halusinasi atas nama pengguna dapat dibajak untuk menjalankan kode yang diberikan penyerang. Hal itu memperluas evolusi slopsquatting dari risiko instalasi pasif menjadi vektor eksekusi kode jarak jauh aktif di dalam alur kerja pengembangan berbasis agen.
Mengapa “vibe coding” memperluas potensi serangan?
Praktik slopsquatting tidak akan terlalu menjadi masalah jika kode yang dihasilkan AI bersifat khusus. Namun kenyataannya tidak demikian. Munculnya asisten pengkodean, agen otonom, dan alur kerja "vibe coding", di mana pengembang meninjau lebih sedikit kode sebelum menjalankannya, telah menggeser permukaan serangan dalam dua cara konkret.
Pertama, titik masuknya bukan lagi hanya pengembang. Serangan typosquatting bergantung pada satu orang yang salah mengetik. Sekarang kesalahan tersebut berasal dari dalam model dan menyebar ke ratusan pengembang yang mengajukan pertanyaan serupa dan mendapatkan rekomendasi yang sama.
Kedua, permukaan serangan bergeser ke atas rantai. Tidak cukup lagi hanya mengamati kode yang ditulis manusia. Tim harus mengamati dependensi yang disarankan oleh asisten AI, server MCP yang terhubung dengannya, dan agen yang menginstal paket tanpa campur tangan manusia. Keamanan Aplikasi tradisional, yang dibangun untuk meninjau repositori dan manusia commits, tidak pernah dirancang untuk mengamati interaksi antara pengembang, AI, dan registri, yang justru di situlah praktik slopsquatting bersembunyi.
Apa artinya ini bagi pencegahan?
Semua ini tidak lantas membuat AI generatif secara inheren tidak aman. AI generatif memperkenalkan risiko rantai pasokan yang tidak dapat dideteksi oleh perangkat tradisional, dan membutuhkan prinsip verifikasi yang sudah kita terapkan pada setiap ketergantungan eksternal: jangan percaya begitu saja, verifikasi sumbernya, dan otomatiskan verifikasi tersebut daripada mengandalkan ingatan setiap pengembang. Panduan lengkap untuk strategi pertahanan ada di panduan kami tentang... Keamanan rantai pasokan AINamun, singkatnya, verifikasi manual, meskipun masih diperlukan, akan kehilangan efektivitasnya begitu sebuah nama yang tidak jelas dapat menjangkau ribuan pengembang sekaligus, atau ketika sebuah agen dapat menginstalnya tanpa tinjauan manusia sama sekali.
Hentikan paket-paket yang tidak diinginkan sebelum agen menginstalnya.
Ke-2026 kasus tersebut memiliki satu kesamaan: instalasi berbahaya terjadi tanpa campur tangan manusia. Itulah celah yang sebenarnya. Xygeni Shield dibuat untuk. Shield adalah agen ringan di titik akhir pengembang yang memblokir paket berbahaya pada saat instalasi, menggunakan Peringatan Dini Malware (MEW) Putusan yang berlaku sebelum tanda tangan apa pun ada. Ketika asisten AI atau agen otonom mencoba menginstal paket yang baru saja didaftarkan dan hanya berupa ilusi, Shield mengevaluasinya saat diambil dan memblokirnya, sehingga skrip instalasi tidak pernah dijalankan, terlepas dari apakah ada manusia yang mengawasi atau tidak. Setiap blok mengalir ke tempat yang sama. Xygeni konsol sebagai kode Anda, hasil build, dan temuan runtime, dan Shield Berjalan berdampingan dengan EDR yang sudah ada, bukan bertentangan dengannya.
Mulai gratis. Paket Developer Xygeni adalah €0: 10 repositori, 200 pemindaian per bulan, hingga 5 kontributor, tanpa kartu kredit. Sign up with GitHubGunakan GitLab atau Google dan jalankan pemindaian pertama Anda dalam waktu kurang dari 10 menit; Shield Perlindungan titik akhir akan segera hadir di paket Pengembang.
FAQ (Pertanyaan Umum)
Bisakah pengelola paket mencegah praktik slopsquatting dengan sendirinya?
Tidak sepenuhnya. Deteksi benturan npm memblokir nama yang terlalu mirip dengan paket yang sudah ada, yang membantu mencegah typosquatting, tetapi nama yang dipalsukan adalah string baru tanpa benturan yang perlu dideteksi. Jika penyerang mendaftarkan paket palsu tersebut sebelum pengembang menginstalnya, instalasi akan selesai tanpa kesalahan karena paket tersebut benar-benar ada. Pencegahan membutuhkan verifikasi asal dan perilaku paket, bukan hanya pemeriksaan dari registri itu sendiri.
Apa yang membuat kasus agen tahun 2026 berbeda dari kasus penguasaan lahan ilegal sebelumnya?
Insiden sebelumnya bergantung pada manusia yang menyalin dan menempelkan perintah instalasi yang disarankan. Dalam kasus tahun 2026, agen otonom menginstal atau mencoba menginstal paket yang dihalusinasi tanpa pengawasan manusia, dan teknik HalluSquatting melangkah lebih jauh dengan menggabungkan halusinasi dengan injeksi perintah untuk mencapai eksekusi kode jarak jauh di dalam alur kerja agen.
