בפעם הבאה שעוזר בינה מלאכותית ימליץ על חבילה להתקנה, האם תבדוק אם היא באמת קיימת? רוב המפתחים לא עושים זאת. הפער בין הצעה לאימות הוא המקום שבו מתחילות מתקפות ה-slopsquatting, ובתוך פחות משלוש שנים, האיום התפתח מהוכחת היתכנות של חוקר לביצוע קוד מרחוק בתוך סוכני קידוד אוטונומיים. מאמר זה עוקב אחר התפתחות ה-slopsquatting ומה המשמעות של כל שלב עבור צוותי AppSec ו-DevSecOps.
חדש כאן? התחילו עם ההדרכה שלנו על מה זה סלופסקווט ואיך להתגונן מפניו, ואז חזור לציר הזמן.
התקפת כריעה בפסקה אחת
התקפת כריעה רפויה רושם חבילה זדונית תחת שם שמדמיל בינה מלאכותית מעלה הזיות צפוי. היכן ש-typosquatting מנצל שגיאת הקלדה אנושית בקשות ל בקשות, slopsquatting מנצל את המודל עצמו על ידי המצאת שם סביר שאינו קיים בשום רישום, ואז תוקף טוען לשם המדויק הזה לפני שמישהו לגיטימי עושה זאת. המונח נטבע על ידי סת' לרסון, מפתח אבטחה ב-Python Software Foundation, והפך לפופולרי על ידי אנדרו נסביט. מה שהופך את הדפוס הזה לראוי למעקב הוא כמה מהר הוא התבגר.
אבולוציה של כריעה קלה
2023: סימן האזהרה הראשון
חוקר האבטחה בר לניאדו שם לב שכמה חוקרים במשפטים המשיכו להמליץ על חבילה בשם huggingface-cli, שאינו קיים (הכלי האמיתי מותקן עם התקנת pip -U "huggingface_hub[cli]"כדי להדגים את הסיכון, הוא העלה חבילה ריקה תחת השם ההזוי הזה. תוך שלושה חודשים היא הורדה יותר מ-30,000 פעמים, ללא שום קידום, והשם המזויף אף הופיע בקובץ README של מאגר הקשור למחקר של חברת טכנולוגיה גדולה. החבילה לא הייתה מזיקה. הלקח לא היה: שם הזוי צריך להיות עקבי מספיק כדי שמישהו יוכל להפוך אותו לנשק.
2024: מפוסט בבלוג לסיקור מרכזי
במרץ 2024, דיווח ה"רג'יסטר" על מודלים של בינה מלאכותית המציאים בביטחון שמות של חבילות תוכנה, שאותן מפתחים הורידו לאחר מכן, חלקם עלולים להיות מורעלים בתוכנות זדוניות. הסיקור היה פחות חשוב בשל מה שהוא חשף מבחינה טכנית ויותר בשל מה שהוא אותת: huggingface-cli לא היה עוד קוריוז חד פעמי, אלא הסימן הראשון לדפוס חמור מספיק כדי שהתקשורת הטכנולוגית המרכזית תסמן בו, לקראת המחקר רחב היקף שיאשר את היקפו שנה לאחר מכן.
2025: המדידה הקפדנית הראשונה
המאמר "יש לנו חבילה בשבילך!" של USENIX Security 2025 (Spracklen et al.) בחן 16 מודלים של יצירת קוד, מסחריים וקוד פתוח, על פני 576,000 דוגמאות של Python ו-JavaScript. הוא העביר את הגישה הלא מדויקת מאנקדוטה לנתונים:
- 19.7% מהחבילות המומלצות לא היו קיימות.
- מודלים בקוד פתוח הזיו הרבה יותר (21.7% בממוצע) מאשר מודלים מסחריים (5.2%).
- העבריינים הגרועים ביותר, CodeLlama 7B ו-34B, היו הזיות ביותר משליש מהפלטים שלהם.
- בכל המודלים, החוקרים תיעדו מעל 205,000 שמות הזויים ייחודיים, מאגר גדול מספיק כדי להניע קמפיינים מתמשכים ברחבי מערכות אקולוגיות.
המחקר גם סיווג כיצד נוצרים הזיופים: 38% היו שילובים שממזגים שני שמות חבילות אמיתיים (בדיוק הדפוס שיצר מאוחר יותר react-codeshift החל מ- jscodeshift ו react-codemod), 13% היו גרסאות בסגנון שגיאות הקלדה של חבילות אמיתיות, ו-51% היו המצאות טהורות שהן סבירות אך הומצאו לחלוטין. הקבוצה הראשונה הזו חשובה ביותר להגנה, מכיוון ששם שתפור יחד משני כלים אמיתיים הוא הקשה ביותר לזיהוי במבט חטוף.
הממצא החשוב ביותר עבור תוקפים: הזיות אינן אקראיות ואינן משתנות בכל ניסיון. כאשר חוקרים הריצו שוב הנחיות זהות עשר פעמים בכל ניסיון, 43% מהשמות ההזויים הופיעו בכל ריצה ו-58% חזרו על עצמם יותר מפעם אחת. תוקף אינו צריך לנחש. הוא צופה בהתנהגות המודל, מציין את השמות שחוזרים על עצמם ורושם אותם תחילה. חזרתיות זו היא שהופכת הזיה חד פעמית להתקפה ניתנת להרחבה.
2026: מחבילות מבודדות לסוכנים אוטונומיים
השנה הציגה את הראיות הברורות ביותר עד כה לכך שסלופסקווטינג אינו מוגבל עוד להעתקה-הדבקה של הצעה על ידי מפתח. התקנת npm.
בינואר 2026, חוקר האבטחה צ'רלי אריקסן מצא חבילת npm הזויה, react-codeshift, שהוראות סוכן שנוצרו על ידי בינה מלאכותית כבר התפשטו על פני 237 מאגרים דרך מזלגות, כאשר סוכנים עדיין מנסים להתקין אותן מדי יום. מקורן באחד commit של קבצי מיומנויות של סוכנים שנכתבו על ידי בינה מלאכותית שאף אדם לא בדק. אריקסן רשם את השם בעצמו, באופן הגנתי, לפני שתוקף יכול היה להפוך אותו לנשק.
בנפרד, חבילה זדונית באמת בשם ייבוא לא בשימוש, הזיות במקום הלגיטימי יבוא תוסף eslint שאינו בשימוש, המשיך לצייר התקנות גם לאחר ש-npm שם אותו תחת החזקת אבטחה, מה שמראה כמה זמן מתקפת slopsquatting יכולה להמשיך למצוא קורבנות לאחר שסומנה.
לאחר מכן, ביולי 2026, תיארו חוקרים טכניקה קשורה בשם "HalluSquatting" אשר מקשרת הזיה עם הזרקה מיידית: סוכן קידוד מבוסס בינה מלאכותית אשר מאחזר משאב הזיה מטעם משתמש יכול להיפגע ולהריץ קוד המסופק על ידי התוקף. זה מרחיב את התפתחות ה-slopsquatting מסיכון התקנה פסיבי לווקטור פעיל של ביצוע קוד מרחוק בתוך זרימות עבודה של פיתוח סוכנים.
מדוע "קידוד רטט" הרחיב את משטח ההתקפה
"סלופסקווטינג" לא היה משנה הרבה אם קוד שנוצר על ידי בינה מלאכותית היה נישתי. זה לא. עלייתם של עוזרי קידוד, סוכנים אוטונומיים וזרימות עבודה של "וייב קידוד", שבהן מפתחים סוקרים פחות קוד לפני הרצתו, שינתה את משטח ההתקפה בשתי דרכים קונקרטיות.
ראשית, נקודת הכניסה כבר אינה רק המפתח. התקפת typosquatting התבססה על שגיאת הקלדה של אדם אחד. כעת הטעות מקורה בתוך המודל ומתפשטת למאות מפתחים ששואלים שאלות דומות ומקבלים את אותה המלצה הזויה.
שנית, משטח ההתקפה התקדם במעלה השרשרת. זה כבר לא מספיק לצפות בקוד שכותב אדם. צוותים צריכים לצפות בתלות שעוזר בינה מלאכותית מציע, בשרתי ה-MCP שאליהם הוא מתחבר, ובסוכנים שמתקינים חבילות ללא מעורבות אנושית. AppSec מסורתי, שנבנה כדי לסקור מאגרים ופעולות אנושיות. commits, מעולם לא תוכנן להתבונן באינטראקציה הזו בין מפתח, בינה מלאכותית ורישום, וזה בדיוק המקום שבו מסתתר כעת ה"סלוסקוואטינג".
מה המשמעות של זה מבחינת מניעה
שום דבר מזה לא הופך את הבינה המלאכותית הגנרטיבית לחסרת ביטחון מטבעה. היא מציגה סיכון בשרשרת האספקה שכלי עבודה מסורתיים לא נועדו לתפוס, והיא דורשת את עקרונות האימות שאנו כבר מיישמים על כל תלות חיצונית: אל תסמכו כברירת מחדל, אמתו את המקור, והפוך את האימות הזה לאוטומטי במקום להסתמך על הזיכרון של כל מפתח. מדריך ההגנה המלא נמצא במדריך שלנו ל... אבטחת שרשרת האספקה של בינה מלאכותית, אבל הגרסה הקצרה היא שאימות ידני, למרות שעדיין הכרחי, מפסיק להתרחב ברגע ששם הזוי יכול להגיע לאלפי מפתחים בו זמנית, או שסוכן יכול להתקין אותו ללא בדיקה אנושית כלל.
לעצור חבילות הזיות לפני שסוכן יתקין אותן
למקרים של 2026 יש מאפיין אחד משותף: ההתקנה המסוכנת מתרחשת ללא מעורבות אנושית. זה בדיוק הפער. קסיגני Shield בנוי עבור. Shield הוא סוכן קל משקל בנקודת הקצה של המפתח שחוסם חבילות זדוניות בזמן ההתקנה, באמצעות התרעה מוקדמת מפני תוכנות זדוניות (MEW) פסקי דין שפועלים לפני שקיימת חתימה כלשהי. כאשר עוזר בינה מלאכותית או סוכן אוטונומי מנסה להתקין חבילה הזויה, רשומה טרייה, Shield מעריך אותו בזמן אחזורו וחוסם אותו, כך שסקריפט ההתקנה לעולם לא יפעל, בין אם אדם צפה בו ובין אם לאו. כל בלוק זורם לאותו קסיגני קונסולה כקוד, בנייה וממצאי זמן ריצה שלך, ו Shield פועל לצד ה-EDR הקיים שלך ולא נגדו.
התחל בחינם. תוכנית המפתחים של Xygeni עולה 0 אירו: 10 מאגרים, 200 סריקות בחודש, עד 5 תורמים, ללא צורך בכרטיס אשראי. Sign up with GitHub, GitLab, או Google והרץ את הסריקה הראשונה שלך תוך פחות מ-10 דקות; Shield הגנת נקודות קצה תגיע בקרוב לתוכנית למפתחים.
שאלות נפוצות
האם מנהל חבילות יכול למנוע סלופסקווטינג בעצמו?
לא לגמרי. זיהוי ההתנגשויות של npm חוסם שמות הדומים מדי לחבילות קיימות, מה שעוזר נגד typosquatting, אבל שם hallucinated הוא מחרוזת חדשה לגמרי שאין התנגשויות לזיהוי. אם תוקף רושם את החבילה ההזייה לפני שמפתח מתקין אותה, ההתקנה מסתיימת ללא שגיאה מכיוון שהחבילה קיימת באמת. מניעה דורשת אימות של מקור החבילה והתנהגותה, לא רק של הבדיקות של הרישום עצמו.
מה מייחד את תיקי הסוכנים של 2026 ממקרי סלופסקוטינג קודמים?
אירועים קודמים התבססו על העתקה-הדבקה אנושית של פקודת התקנה מוצעת. במקרים של 2026, סוכנים אוטונומיים התקינו או ניסו להתקין חבילות הזיות ללא בדיקה אנושית של השלב, וטכניקת HalluSquatting התקינה צעד צעד קדימה על ידי שרשור הזיות עם הזרקה מיידית כדי להשיג ביצוע קוד מרחוק בתוך זרימת העבודה של הסוכן.
