בשנת 2023, חוקר אבטחה בשם בר לניאדו ביצע ניסוי שקט. הוא שם לב שעוזרי קידוד של בינה מלאכותית המשיכו להמליץ על חבילת Python בשם huggingface-cli, חבילה שלא הייתה קיימת. אז הוא יצר אותה: מציין מיקום ריק, שהועלה תחת השם המדויק שהמודלים המציאו. הוא לא הוסיף פונקציונליות ולא מטען. הוא פשוט חיכה.
בתוך שלושה חודשים, החבילה הורדה יותר מ-30,000 פעמים. פקודת ההתקנה ההזויה אף מצאה את דרכה למאגר README ציבורי השייך לחברת טכנולוגיה גדולה. החבילה של לניאדו לא הייתה מזיקה. אבל הניסוי הוכיח משהו מטריד: תוקף יכול לחזות מה תמציא בינה מלאכותית, לרשום אותה תחילה ולתת למפתחים להתקין אותה בעצמם. לטכניקה הזו יש כעת שם, כריעה רפויה, וזהו אחד האיומים הצומחים ביותר בשרשרת האספקה של התוכנה.
מה זה סלופסקווט?
סלופשקווטינג הוא מתקפה על שרשרת האספקה שבו תוקף רושם חבילת תוכנה זדונית תחת שם שעוזרי קידוד בינה מלאכותית מזיזים באופן צפוי. כאשר מפתח מבקש עזרה מכלי בינה מלאכותית והוא מציע להתקין תלות שנשמעת סבירה אך לא קיימת, התוקף כבר תבע את השם הזה ברישום הציבורי, כך שההצעה "המועילה" מתקינה תוכנה זדונית במקום כלום.
המונח היה נוצר באפריל 2025 על ידי סת' לרסון, מפתח אבטחה קבוע בקרן תוכנה של פייתון. זהו משחק על קלקול הקלדה, ההתקפה הישנה יותר שבה פושעים רושמים שגיאות כתיב של חבילות פופולריות (בקשות במקום בקשותההבדל הוא מקור הטעות: typosquatting מנצל שגיאות כתיב אנושיות, בעוד ש-slopsquatting מנצל את ה-"slop" של הבינה המלאכותית: הפלט הבטוח, השוטף והשגוי שמודלי שפה גדולים מייצרים.
למה סלופסקווטינג באמת עובד
אפשר להניח שהזיות של בינה מלאכותית הן רעש אקראי: שם בדוי שונה בכל פעם, בלתי אפשרי להפוך אותו לנשק. המחקר אומר אחרת, וזו כל הנקודה.
מחקר שעבר ביקורת עמיתים שהוצג ב USENIX Security 2025 (Spracklen et al.) בדקה 16 מודלי שפה גדולים על פני 576,000 דגימות קוד שנוצרו. נמצא כי 19.7% מהחבילות המומלצות לא היו קיימות: 205,474 שמות הזיות ייחודיים בסך הכל. באופן קריטי, הזיות אלו היו הָדִיר43% מהשמות המזויפים הופיעו שוב ושוב בבקשות חוזרות, ו-58% חזרו על עצמם בעשרה הפעלות של אותה שאילתה. מודלים בקוד פתוח הזיו חבילות ב-21.7% מהמקרים; אפילו מודלים מסחריים כמו GPT-4 עשו זאת ב-5.2% מהמקרים: אחד מכל עשרים.
חזרתיות היא מה שהופך אובייקט מוזר למתקפה. תוקף לא צריך לנחש. הוא יכול להריץ הנחיות פופולריות, לתעד אילו חבילות לא קיימות המודלים ממשיכים להציע, ולרשום את השמות הללו כתוכנות זדוניות. הבינה המלאכותית מבצעת את המיקוד עבורן.
כיצד מתפתחת התקפת סלופסקוואטינג
שרשרת ההתקפה קצרה, וזו אחת הסיבות לכך שהיא מסוכנת:
- לצפות. התוקף מבקש מעוזרים של קידוד בינה מלאכותית משימות פיתוח נפוצות ורושם את שמות החבילות שהכלים הללו ממציאים אך אינם קיימים ברישום.
- הירשם. הם מפרסמים חבילה זדונית תחת אחד מאותם שמות הזויים, עם קובץ README נקי, מטא-דאטה סבירים, ומטען מוסתר בסקריפט התקנה.
- חכו. מפתח (או סוכן קידוד אוטונומי) שואל כלי בינה מלאכותית שאלה דומה, מקבל את אותה המלצה הזויה, ומפעיל להתקין.
- לְבַצֵעַ. פעולת ההתקנה של החבילה מופעלת, חודרת סודות, פותחת מעטפת הפוכה או שותלת דלת אחורית, והפשרה זורמת במורד הזרם אל הבניינים והייצור.
סוכני קידוד אוטונומיים הופכים את שלב 3 לסביר הרבה יותר. סוכן שמתקין תלויות ללא בדיקה אנושית מסיר את נקודת הביקורת היחידה שבה מפתח היה עשוי לעצור ולחשוב, "מעולם לא שמעתי על החבילה הזאת".
כמה זה באמת גרוע?
מחמיר, לא משתפר. מחקר USENIX בדק 16 מודלים ועדיין מצא שכמעט אחת מכל חמש חבילות מומלצות לא קיימת, כך שזו לא בעיה שמוגבלת לכלים ישנים או חלשים יותר. ועוזר קידוד שעובד מנתוני אימון בלבד אינו יכול לדעת אם שם החבילה שהוא הציע זה עתה בטוח, הזוי או כבר סומן כתוכנה זדונית: אין לו תצוגה בזמן אמת של הרישום. זו לא קוריוז מעבדתי. זוהי בדיוק ההתנהגות שמפתחים מסתמכים עליה כעת עשרות פעמים ביום.
"סלופסקווטינג" גם הוא מתעצם עם הקריסה הרחבה יותר בהיגיינת שרשרת האספקה. בשנת 2025, קמפיינים של חבילות זדוניות בנפח גבוה הפכו למודל התפעול הבסיסי להתקפות בשרשרת האספקה, כפי שמתעד מגמות ההתקפה החדשות של AppSec לשנת 2026 של Xygeni: תוקפים מפרסמים בנפח, מקבלים הסרות מהירות ומסתמכים על הסתברות, והזיות בינה מלאכותית מעניקות להם אספקה קבועה של שמות בעלי המרה גבוהה לרישום.
איך להתגונן מפני סלופסקווטינג
האמת הלא נוחה היא שכלים מבוססי חתימות לא יכולים לתפוס את זה. חבילה שקטה היא חדשה לגמרי; לא קיים CVE, לא קיימת חתימה, והיא עשויה להיות פעילה רק שעות לפני הסרה, מספיק זמן כדי לצבור אלפי התקנות. הגנה יעילה נשענת על ארבעה פרקטיקות:
- לעולם אל תתקין חבילה שמציעה בינה מלאכותית מבלי לוודא שהיא קיימת ולגיטימית. בדוק את היסטוריית ההורדות האמיתית, את מנהל התוכנה ואת המאגר, לא רק שהשם נשמע נכון.
- זיהוי תוכנות זדוניות לפי התנהגות, לא לפי חתימות. ציון חבילה בזמן פרסום על פעולות בזמן ההתקנה שלה, קריאות הרשת שלה ו דפוסי ערפול, כך שחבילה זדונית מסומנת ברגע שהיא מופיעה ולא לאחר שהיא כבר ידועה.
- הצב חומת אש של תלויות בין המפתחים לרישום. הכנס חבילות חשודות או חדשות לגמרי להסגר באופן אוטומטי לפני שהן מגיעות לגירסה, במקום לסמוך על הרישום הציבורי כברירת מחדל.
- מלאי איזו בינה מלאכותית מפעילה במערכת שלך pipeline. עוזרי קידוד וסוכנים אוטונומיים שמתקינים תלויות הם חלק ממשטח ההתקפה שלך. רשימת חומרים של בינה מלאכותית (AI-BOM) הופך את זה לגלוי.
סקוואטינג רופף הוא סימפטום אחד של שינוי גדול יותר
סלוסקוואטינג הוא הדוגמה החדה ביותר לדפוס רחב יותר: בינה מלאכותית היא כעת גם הדבר שכותב את הקוד שלך וגם הדבר שתוקפים מצביעים עליו בשרשרת האספקה שלך. הגנה מפניה בפני עצמה אינה מספיקה; היא שייכת לאסטרטגיה רחבה יותר. לתמונה המלאה, עיינו במדריך שלנו ל... אבטחת שרשרת האספקה של בינה מלאכותית, אשר מכסה חבילות זדוניות, סיכוני MCP, וקוד שנוצר על ידי בינה מלאכותית לצד ההגנות המטפלות בהן.
תפסיקו לעשות סלופסקוואט לפני שזה יגיע למבנה שלכם
המקום היעיל ביותר לעצור חבילה שנפגעה הוא הרגע שבו מפתח מנסה להתקין אותה, לפני שסקריפט ההתקנה בכלל רץ. זה מה... קסיגני Shield עושה. Shield הוא סוכן קל משקל בנקודת הקצה של המפתח שחוסם חבילות זדוניות בזמן ההתקנה, באמצעות התרעה מוקדמת מפני תוכנות זדוניות (MEW) פסקי דין שעובדים לפני שקיימת חתימה כלשהי. כאשר עוזר בינה מלאכותית מציע תלות הזויה והמפתח מפעיל להתקין, Shield מעריך את החבילה בזמן אחזורה וחוסם אותה: הסקריפט הזדוני שלאחר ההתקנה לעולם לא יבוצע, וצוות האבטחה רואה את הניסיון עם הקשר מלא.
מכיוון ש-MEW מדרג את התנהגות החבילה ברגע פרסומה (פעולות בזמן התקנה, קריאות רשת, דפוסי ערפול), Shield לוכד בדיוק את החבילות החדשות, ללא חתימה, ש-slopsquatting תלוי בהן, יחד עם typosquatting, בלבול תלויות ופגיעה בתחזוקה. כל בלוק זורם לאותה קונסולת Xygeni כמו הקוד, הבנייה וממצאי זמן הריצה שלך, כך שאין תוצאות חדשות. dashboard ואין קשרי ספק חדשים, ו Shield פועל לצד ה-EDR הקיים שלך, לא נגדו.
התחל בחינם. תוכנית המפתחים של Xygeni עולה 0 אירו: 10 מאגרים, 200 סריקות בחודש, עד 5 תורמים, ללא צורך בכרטיס אשראי. Sign up with GitHub, GitLab, או Google והרץ את הסריקה הראשונה שלך תוך פחות מ-10 דקות; Shield הגנת נקודות קצה תגיע בקרוב לתוכנית למפתחים.
שאלות נפוצות
האם סלופסקווטינג הוא איום ממשי או רק תיאורטי?
זה אמיתי. הוכחת היתכנות משנת 2023 שערך החוקר בר לניאדו ראתה חבילה תחת שם הזוי (huggingface-cli) הורדו יותר מ-30,000 פעמים בשלושה חודשים. מחקר של USENIX Security 2025 מצא ש-19.7% מהחבילות המומלצות על ידי בינה מלאכותית אינן קיימות, ו-43% מהשמות ההזויים הללו חוזרים על עצמם בכל הפקודות, כלומר תוקפים יכולים לחזות ולרשום אותן.
מה ההבדל בין סלופסקווטינג לטיפוסקווטינג?
טיפוסקוואטינג מנצל שגיאות כתיב אנושיות על ידי רישום שגיאות כתיב של חבילות פופולריות (בקשות ל בקשות). Slopsquatting מנצל הזיות של בינה מלאכותית על ידי רישום שמות חבילות בטוחים אך שגויים שמודלי שפה גדולים ממציאים. שניהם שואפים להערים על מפתח להתקין חבילה זדונית, אך הטעות שהם משתמשים בה כנשק שונה.
האם אני יכול לסמוך על עוזרי קידוד של בינה מלאכותית שיציעו תלויות?
לא בלי אימות. אפילו מודלים מסחריים מובילים מזיזים חבילות שאינן קיימות בכ-5% מהמקרים, וניתוח חדש יותר מצא שכמעט 28% מההצעות לשדרוג תלות ממודל נוכחי היו הזיות. יש לוודא תמיד שחבילה מוצעת קיימת באמת והיא לגיטימית לפני התקנתה.
איך אני מגן על בסיס הקוד שלי מפני סלופסקווטינג?
אמת חבילות המוצעות על ידי בינה מלאכותית לפני ההתקנה, זיהוי תוכנות זדוניות לפי התנהגות בזמן הפרסום במקום להמתין לחתימה, הצבת חומת אש של תלות בין מפתחים לרישומים ציבוריים, ותחזוקת מלאי AI-BOM של כלי וסוכני בינה מלאכותית הפועלים במערכת שלך. pipeline.
