Nel 2023, un ricercatore di sicurezza di nome Bar Lanyado ha condotto un esperimento silenzioso. Ha notato che gli assistenti di programmazione IA continuavano a raccomandare un pacchetto Python chiamato abbracciandoface-cli, un pacchetto che non esisteva. Quindi lo creò: un segnaposto vuoto, caricato con il nome esatto che i modelli stavano inventando. Non aggiunse alcuna funzionalità né alcun contenuto utile. Aspettò soltanto.
Nel giro di tre mesi, il pacchetto era stato scaricato più di 30,000 volte. Il comando di installazione allucinato era persino finito in un README di un repository pubblico appartenente a una grande azienda tecnologica. Il pacchetto di Lanyado era innocuo. Ma l'esperimento ha dimostrato qualcosa di inquietante: un attaccante può prevedere cosa inventerà un'IA, registrarla per primo e lasciare che gli sviluppatori la installino da soli. Questa tecnica ora ha un nome, accovacciarsie rappresenta una delle minacce in più rapida crescita nella catena di fornitura del software.
Cos'è lo slopsquatting?
Lo slopsquatting è un attacco alla catena di fornitura in cui un aggressore registra un pacchetto software dannoso con un nome che gli assistenti di programmazione basati sull'IA, prevedibilmente, inventeranno in modo delirante. Quando uno sviluppatore chiede aiuto a uno strumento di intelligenza artificiale e questo suggerisce di installare una dipendenza apparentemente plausibile ma inesistente, l'attaccante ha già rivendicato quel nome nel registro pubblico, quindi il suggerimento "utile" installa malware anziché nulla.
Il termine era termine coniato nell'aprile 2025 da Seth Larson, sviluppatore residente per la sicurezza presso la Python Software Foundation. È un gioco di parole su typosquatting, l'attacco più vecchio in cui i criminali registrano errori di ortografia di pacchetti popolari (richieste invece di richiesteLa differenza sta nella fonte dell'errore: il typosquatting sfrutta gli errori di battitura umani, mentre lo slopsquatting sfrutta gli "errori" dell'IA: l'output sicuro, fluente e scorretto prodotto dai grandi modelli linguistici.
Perché lo slopsquatting funziona davvero
Si potrebbe pensare che le allucinazioni generate dall'IA siano rumore casuale: un nome falso diverso ogni volta, impossibile da usare come arma. La ricerca dice il contrario, ed è proprio questo il punto.
Uno studio sottoposto a revisione paritaria presentato a USENIX Sicurezza 2025 (Spracklen et al.) ha testato 16 grandi modelli linguistici su 576,000 campioni di codice generati. Ha scoperto che il 19.7% dei pacchetti consigliati non esisteva: 205,474 nomi allucinati unici in totale. Fondamentalmente, queste allucinazioni erano ripetibileIl 43% dei nomi falsi è ricomparso in seguito a richieste ripetute e il 58% si è ripresentato in dieci esecuzioni della stessa query. I modelli open-source hanno generato pacchetti falsi nel 21.7% dei casi; persino i modelli commerciali come GPT-4 lo hanno fatto nel 5.2% dei casi: uno su venti.
La ripetibilità è ciò che trasforma una stranezza in un attacco. Un attaccante non ha bisogno di tirare a indovinare. Può eseguire i prompt più comuni, registrare quali pacchetti inesistenti i modelli continuano a suggerire e registrare quei nomi come malware. L'IA si occupa di individuare le minacce al posto suo.
Come si svolge un attacco di slopsquatting
La catena di attacco è breve, ed è anche per questo che è pericolosa:
- Osservare. L'attaccante sollecita assistenti di programmazione basati sull'IA con attività di sviluppo comuni e registra i nomi dei pacchetti che questi strumenti inventano ma che non esistono nel registro di sistema.
- Registrati. Pubblicano un pacchetto dannoso sotto uno di quei nomi fantasiosi, con un file README pulito, metadati plausibili e un payload nascosto in uno script di installazione.
- Aspettare. Uno sviluppatore (o un agente di codifica autonomo) pone a uno strumento di IA una domanda simile, riceve la stessa raccomandazione allucinatoria e corre install.
- Eseguire. Il meccanismo di installazione del pacchetto si attiva, esfiltrando segreti, aprendo una reverse shell o installando una backdoor, e la compromissione si propaga a valle, influenzando le build e la produzione.
Gli agenti di codifica autonomi rendono molto più probabile il passaggio 3. Un agente che installa le dipendenze senza revisione umana elimina l'unico punto di controllo in cui uno sviluppatore avrebbe potuto fermarsi e pensare: "Non ho mai sentito parlare di questo pacchetto".
Quanto è grave, in realtà?
La situazione sta peggiorando, non migliorando. Lo studio USENIX ha testato 16 modelli e ha comunque scoperto che quasi un pacchetto consigliato su cinque non esisteva, quindi non si tratta di un problema limitato a strumenti più vecchi o meno performanti. Inoltre, un assistente di programmazione che si basa esclusivamente su dati di addestramento non ha modo di sapere se il nome del pacchetto appena suggerito sia sicuro, inesistente o già segnalato come malware: non ha una visione in tempo reale del registro di sistema. Non è una curiosità di laboratorio. È esattamente il comportamento su cui gli sviluppatori fanno affidamento decine di volte al giorno.
Lo slopsquatting si diffonde anche con il più ampio collasso dell'igiene della catena di approvvigionamento. Nel 2025, le campagne di pacchetti dannosi ad alto volume sono diventate il modello operativo di base per gli attacchi alla catena di approvvigionamento, come documentato dal rapporto "New AppSec Attack Trends for 2026" di Xygeni: gli aggressori pubblicano in grandi quantità, accettano rimozioni rapide e si affidano alla probabilità, e le allucinazioni dell'IA forniscono loro un flusso costante di nomi ad alto tasso di conversione da registrare.
Come difendersi dallo slopsquatting
La scomoda verità è che gli strumenti basati sulle firme non possono rilevarlo. Un pacchetto "slopsquatted" è completamente nuovo; non esiste una CVE, non esiste una firma e potrebbe rimanere attivo solo per poche ore prima di essere rimosso, un tempo sufficiente per accumulare migliaia di installazioni. Una difesa efficace si basa su quattro pratiche:
- Non installare mai un pacchetto suggerito da un'IA senza prima aver verificato che esista e sia legittimo. Verifica la cronologia dei download, il manutentore e il repository reali, non solo che il nome suoni corretto.
- Rileva i malware in base al comportamento, non alle firme. Valuta un pacchetto al momento della pubblicazione in base alle sue azioni di installazione, alle chiamate di rete e schemi di offuscamentoPertanto, un pacchetto dannoso viene segnalato nel momento stesso in cui appare, anziché dopo che è già noto.
- Metti un firewall di dipendenza tra gli sviluppatori e il registro. Invece di affidarsi di default al registro pubblico, i pacchetti sospetti o nuovi vengono messi automaticamente in quarantena prima di essere inclusi nella build.
- Fai un inventario di quali IA sono in esecuzione nel tuo pipeline. Gli assistenti di programmazione e gli agenti autonomi che installano dipendenze fanno parte della tua superficie di attacco. Distinta base per l'intelligenza artificiale (AI-BOM) lo rende visibile.
Lo slopsquatting è un sintomo di un cambiamento più ampio
Lo slopsquatting è l'esempio più lampante di uno schema più ampio: l'IA è ormai sia ciò che scrive il tuo codice sia ciò che gli aggressori prendono di mira nella tua catena di fornitura. Difendersi da essa in modo isolato non è sufficiente; deve essere inserita in una strategia più ampia. Per un quadro completo, consulta la nostra guida a Sicurezza della catena di approvvigionamento basata sull'intelligenza artificiale, che copre i pacchetti dannosi, Rischi MCPe il codice generato dall'intelligenza artificiale insieme alle difese che lo contrastano.
Smetti di fare squat prima che raggiunga il tuo obiettivo
Il modo più efficace per fermare un pacchetto malfunzionante è nel momento in cui uno sviluppatore tenta di installarlo, prima ancora che venga eseguito lo script di installazione. Questo è ciò che Xygeni Shield fa. Shield è un agente leggero sull'endpoint dello sviluppatore che blocca i pacchetti dannosi al momento dell'installazione, utilizzando Allerta precoce sul malware (MEW) verdetti che funzionano prima che esista una firma. Quando un assistente IA suggerisce una dipendenza allucinata e lo sviluppatore esegue install, Shield Il sistema valuta il pacchetto non appena viene scaricato e lo blocca: lo script di post-installazione dannoso non viene mai eseguito e il team di sicurezza rileva il tentativo nel suo contesto completo.
Poiché MEW valuta il comportamento di un pacchetto nel momento in cui viene pubblicato (azioni in fase di installazione, chiamate di rete, modelli di offuscamento), Shield cattura esattamente i pacchetti nuovissimi, senza firma ancora, da cui dipende lo slopsquatting, insieme al typosquatting, alla confusione delle dipendenze e al compromesso del manutentore. Ogni blocco confluisce nella stessa console Xygeni del tuo codice, della build e dei risultati di runtime, quindi non c'è niente di nuovo dashboard e nessun nuovo rapporto con i fornitori, e Shield Funziona in parallelo con il tuo sistema EDR esistente, non in contrasto con esso.
Inizia gratuitamente. Il piano Developer di Xygeni è €0: 10 repository, 200 scansioni al mese, fino a 5 collaboratori, nessuna carta di credito richiesta. Sign up with GitHub, GitLab o Google ed esegui la tua prima scansione in meno di 10 minuti; Shield La protezione degli endpoint sarà presto disponibile nel piano Developer.
FAQ
Lo slopsquatting rappresenta una minaccia reale o è solo teorica?
È reale. Una prova di concetto del 2023 del ricercatore Bar Lanyado ha visto un pacchetto segnaposto con un nome allucinato (abbracciandoface-cli) scaricato più di 30,000 volte in tre mesi. Uno studio USENIX Security 2025 ha rilevato che il 19.7% dei pacchetti consigliati dall'IA non esiste e il 43% di questi nomi inventati si ripete in diverse richieste, il che significa che gli aggressori possono prevederli e registrarli.
Qual è la differenza tra slopsquatting e typosquatting?
Il typosquatting sfrutta gli errori di battitura umani registrando errori di ortografia di pacchetti popolari (richieste per richiesteLo slopsquatting sfrutta le allucinazioni dell'IA registrando i nomi di pacchetto sicuri ma errati che i grandi modelli linguistici inventano. Entrambi mirano a ingannare uno sviluppatore inducendolo a installare un pacchetto dannoso, ma l'errore che sfruttano è diverso.
Posso fidarmi degli assistenti di programmazione basati sull'IA per suggerire le dipendenze?
Non senza verifica. Persino i modelli commerciali più noti segnalano pacchetti inesistenti in circa il 5% dei casi, e un'analisi più recente ha rilevato che quasi il 28% dei suggerimenti di aggiornamento delle dipendenze provenienti da un modello attuale erano errati. Verificate sempre che un pacchetto suggerito esista realmente e sia legittimo prima di installarlo.
Come posso proteggere il mio codice sorgente dallo slopsquatting?
Verifica i pacchetti suggeriti dall'IA prima dell'installazione, rileva il malware in base al comportamento al momento della pubblicazione anziché attendere una firma, metti un firewall delle dipendenze tra gli sviluppatori e i registri pubblici e mantieni un inventario AI-BOM degli strumenti e degli agenti di IA in esecuzione nel tuo pipeline.
