Ny olana ao anaty fehezanteny iray
Amin'ny manaraka Manoro hevitra fonosana iray hapetraka ny mpanampy AI, tena hanamarina ve ianao raha misy io fonosana io? Ny ankamaroan'ny mpamorona rindrambaiko dia mbola tsy nanao izany. Io elanelana misy eo amin'ny soso-kevitra sy ny fanamarinana io no tena manomboka ny fanafihana slopsquatting, ary izany no mahatonga ny fahatakarana ny fivoaran'ny slopsquatting sy ny fisorohana azo ampiharina amin'ny slopsquatting ho laharam-pahamehana ho an'ny ekipa AppSec sy DevSecOps.
Inona no atao hoe fanafihana mihodinkodina?
Ny fanafihana slopsquatting dia karazana iray amin'ny typosquatting (ny fomba fanao amin'ny fisoratana anarana anaran-tsehatra na fonosana izay manahaka ny anaran-tsehatra ara-dalàna amin'ny alàlan'ny tsipelina diso mahazatra, toy ny fangatahana raha tokony ho fangatahana, manantena fa ny tsipi-panoratana ataon'ny mpampiasa no mahatonga azy ireo ho diso), saingy misy fahasamihafana lehibe eo amin'ny toerana niavian'ny fahadisoana. Ny typosquatting dia manararaotra ny fahadisoan'ny fanoratana ataon'olombelona. Ny fanafihana slopsquatting dia manararaotra ny fahadisoana ataon'ireo maodely fiteny lehibe: ny LLM dia "manafina" anaran'ny fonosana izay toa ara-dalàna tanteraka nefa tsy misy ao amin'ny rejisitra ho an'ny daholobe, ary ny mpanafika dia tonga voalohany amin'ny fisoratana anarana io anarana io alohan'ny olona manana fikasana tsara.
Tsotra ny fomba fiasan'ny fanafihana slopsquatting mahazatra, ary io fahatsorana io no tena mahatonga azy io hahomby:
- Mangataka mpanampy amin'ny AI ny mpamorona kaody iray mba hanampy azy hamaha olana amin'ny fanoratana kaody.
- Mamorona vahaolana ny modely izay mampiditra na manoro hevitra ny fametrahana fonosana izay mbola tsy nisy mihitsy.
- Mpanafika iray izay nahatsikaritra fa modely maromaro no mamerina ireo rejisitra anarana mitovy izay fonosina ao amin'ny npm, PyPI, na rejisitra ho an'ny daholobe hafa, misy kaody ratsy ao anatiny. Amin'izao fotoana izao no mivadika ho fanafihana tsy ara-dalàna ny nofinofy.
- Ny mpamorona manaraka izay mahazo soso-kevitra mitovy nefa tsy manamarina izany, dia mametraka ilay fonosana efa tena izy, izay varavarana ambadika mankany amin'ny tontolo iainany.
Ny teny hoe "slopsquatting" dia noforonin'i Seth Larson, Security Developer-in-Residence ao amin'ny Python Software Foundation, ary nalazain'i Andrew Nesbitt, mba hilazana ity lamina ity: "fahatsapana an-kolaka momba ny fonosana" niova ho fomba fanafihana.
Evolisiona tsy mitombina: ny fomba nahatonga ny fahalianana amin'ny fikarohana ho tena fandrahonana
Ny zavatra miavaka amin'ny fivoaran'ny slopsquatting dia tsy ny foto-kevitra fotsiny ihany; fa ny hafaingan'ny fifindrany avy amin'ny fandinihana fikarohana ho amin'ny karazana fanafihana voarakitra an-tsoratra sy azo refesina.
2023: Ny famantarana fampitandremana voalohany. Mpikaroka momba ny fiarovana Bar Lanyado nahatsikaritra fa LLM maromaro no nanoro hevitra imbetsaka fonosana antsoina hoe firaiketam-po, izay tsy misy (ny fonosana tena izy dia napetraka miaraka amin'ny pip install -U “huggingface_hub[cli]”). Mba hampisehoana ny loza mety hitranga, dia nandefa dika foana amin'io fonosana io tao amin'ny rejisitra ho an'ny daholobe izy. Tao anatin'ny telo volana, dia nahazo fisintomana maherin'ny 30,000 izy io, tsy nisy fampiroboroboana mihitsy. Niseho tao amin'ny README an'ny tahiry iray mifandray amin'ny fikarohana avy amin'ny Alibaba mihitsy aza ilay anarana nofinofy, izay mampiseho mialoha ny fomba ahafahan'ireo anarana "sandoka" ireo miditra amin'ny antontan-taratasy tena izy ary mametraka ny sehatra ho an'ireo fanafihana tsy ara-dalàna izay hanaraka izany.
2024: Mifindra avy amin'ny lahatsoratra bilaogin'ny mpikaroka mankany amin'ny fandrakofam-baovao ara-teknolojia mahazatra ny risika. Tamin'ny March 2024, The Register Nitatitra momba ny fomba namoronan'ireo maodely AI tamim-pahatokiana anarana fonosana rindrambaiko izay nalain'ireo mpamorona rindrambaiko avy eo, izay mety ho voapoizin'ny malware ny sasany amin'izy ireo. Tsy dia zava-dehibe loatra io fandrakofana io noho izay nambarany ara-teknika fa noho izay nasehony: tsy zavatra mahaliana indray mandeha intsony ny raharaha huggingface-cli; io no famantarana voalohany amin'ny lamina lehibe izay ampy ho an'ny gazety teknolojia mahazatra, mialoha ny fanadihadiana akademika lehibe izay hanamarina ny sehatra herintaona aty aoriana.
2025: Ny fandrefesana voalohany amin'ny fomba hentitra sy goavana ny olana. Ny lahatsoratra hoe "Manana fonosana ho anao izahay! Famakafakana feno momba ny hallucinations fonosana amin'ny alàlan'ny LLM mamorona kaody" (Spracklen et al., natolotra tao amin'ny USENIX Security Symposium) dia nizaha toetra maodely famoronana kaody 16, na ara-barotra (GPT-4, GPT-3.5) na open source (CodeLlama, DeepSeek, WizardCoder, Mistral), tamin'ny santionany kaody Python sy JavaScript miisa 576,000. Ireo zavatra hita ireo dia manamarika teboka mazava eo amin'ny fivoaran'ny slopsquatting, mamindra azy avy amin'ny anecdote mankany amin'ny data:
- 19.7% amin'ireo fonosana natolotry ny modely no tsy nisy.
- Ireo maodely open-source dia matetika kokoa no nofinofy fotsiny (21.7% amin'ny ankapobeny) raha oharina amin'ireo maodely ara-barotra (5.2%).
- Tamin'ireo modely rehetra nosedraina, ireo mpikaroka dia nandrakitra anarana fonosana tsy manam-paharoa mihoatra ny 205,000, dobo iray lehibe ampy handrisihana ny fanafihana mitohy amin'ny tontolo iainana maro.
Antsipiriany manan-danja iray avy amin'ny fanadihadiana, ary angamba ny antony nahatonga ny fivoaran'ny slopsquatting ho haingana kokoa fa tsy ho levona, dia satria tsy kisendrasendra ny anarana noforonina, ary tsy miova isaky ny andrana. Ireo modely mitovy dia mazàna mamerina ireo anarana noforonina rehefa omena bitsika mitovy, izay midika fa tsy mila maminavina ny mpanafika. Mila mandinika ny fihetsiky ny modely fotsiny izy ireo, mamantatra ireo anarana miverimberina, ary manoratra azy ireo alohan'ny mpamorona tena izy. Ny fanadihadiana manaraka momba ity famerimberenana ity dia nahita fa rehefa namerina nanao bitsika mitovy impolo avy ny mpikaroka, dia 43% amin'ny anaran'ny fonosana no niseho isaky ny andrana, porofo fa ny ankamaroan'ny hallucinations dia zavatra azo averina fa tsy tabataba indray mandeha. Izany famerimberenana izany no mamadika ny hallucinations indray mandeha ho fanafihana slopsquatting azo ovaina.
2026: Avy amin'ny fonosana mitokana mankany amin'ny masoivoho mizaka tena. Manomboka amin'ny fonosana mitokana ka hatramin'ny masoivoho mizaka tena. Ity taona ity no namoaka porofo mazava indrindra hatreto fa ny slopsquatting dia tsy voafetra amin'ny fandikana sy fametahana baiko pip install na npm install naroso intsony. Tamin'ny Janoary 2026, nahita i Charlie Eriksen, mpikaroka momba ny fiarovana, fa efa nizara toromarika momba ny fonosana npm nofinofy, react-codeshift (anarana iray izay azo inoana fa mampifangaro fitaovana tena izy roa, jscodeshift sy react-codemod) ireo mpiasan'ny AI coding, manerana ny tahiry 237, ary mbola miezaka mametraka izany isan'andro ireo mpiasan'ny AI. I Eriksen mihitsy no nanoratra ny anarana, ho fiarovana, talohan'ny nahafahan'ny mpanafika nampiasa azy io ho fitaovam-piadiana. Misaraka amin'izany, fonosana tena ratsy antsoina hoe unused-imports, nofinofy ho solon'ny eslint-plugin-unused-imports ara-dalàna, dia mbola nandrakitra fisintomana 233 isan-kerinandro teo ho eo tamin'ny fiandohan'ny taona 2026 na dia nametraka azy io teo ambany fiarovana aza ny npm, famantarana ny faharetan'ny fanafihana slopsquatting izay afaka misarika niharam-boina na dia efa voamarika aza izany. Vao haingana kokoa, tamin'ny Jolay 2026, ireo mpikaroka dia nanoritsoritra teknika mifandraika amin'izany, antsoina hoe "HalluSquatting," izay mampifandray ny fahitana AI amin'ny alalan'ny tsindrona haingana mba hahafahan'ny mpandraharaha kaody AI maka loharano hita ho an'ny mpampiasa iray ho voafitaka amin'ny fampiasana kaody avy amin'ny mpanafika, manitatra ny fivoaran'ny slopsquatting avy amin'ny risika fametrahana passive ho lasa vector mavitrika amin'ny fanatanterahana kaody lavitra ao anatin'ny workflows fampandrosoana agentic.
Nahoana ny "vibe coding" no nanitatra ny sehatra ho an'ny fanafihana tsy ara-dalàna
Tsy dia hisy dikany loatra ny fanafihana slopsquatting raha toa ka fomba fanao manokana ny kaody novokarin'ny AI. Tsy izany anefa no izy. Ny fitomboan'ny mpanampy amin'ny coding, ny agents autonomous, ary ny workflows "vibe coding", izay tsy dia averin'ny mpamorona rindrankajy jerena intsony ny kaody alohan'ny hampiasana azy, dia nanova ny endriky ny fanafihana rindrambaiko amin'ny fomba roa mivaingana, ary samy manafaingana ny fivoaran'ny slopsquatting izy roa ireo:
- Tsy ny mpamorona fotsiny intsony no toerana hidirana. Ny fanafihana typosquatting taloha dia niankina tamin'ny olona iray nanao fahadisoana fanoratana. Ankehitriny dia mety hiainga avy ao anatin'ny modely mihitsy ny fahadisoana ary miely any amin'ny mpamorona an-jatony samihafa izay mametraka fanontaniana mitovy ary mahazo torohevitra mitovy, ka mampitombo ny fahafahan'ny fanafihana slopsquatting tokana.
- Niakatra kokoa tamin'ny rojo ny velaran'ny fanafihana. Tsy ampy intsony ny mijery ny kaody soratan'ny olombelona. Mila mijery ireo fiankinan-doha atolotry ny mpanampy AI, ireo mpizara MCP ifandraisiny, ary ireo agents izay mametraka fonosana tsy miankina tsy misy fandinihana mivantana ataon'olombelona ny ekipa. AppSec nentim-paharazana, namboarina mba handinihana ireo tahiry sy commits, dia tsy natao mihitsy handinika ity fifandraisana vaovao eo amin'ny mpamorona rindrambaiko, ny AI, ary ny rejisitry ny fonosana ity, izay toerana iafenan'ny fanafihana slopsquatting ankehitriny.
Tsy midika akory izany fa tsy azo antoka ny AI generative. Midika izany fa mampiditra karazana risika vaovao amin'ny rojo famatsiana izay tsy natao ho tratrarin'ny fitaovana fiarovana nentim-paharazana, ary mitaky fitsipika fanamarinana mitovy amin'izay efa ampiharina amin'ny fiankinan-doha ivelany: aza matoky amin'ny alàlan'ny default, hamarino ny loharano, ary mandeha ho azy izany fanamarinana izany fa tsy miantehitra amin'ny fahatsiarovana na ny fahamailoan'ny mpamorona tsirairay. Izany mandeha ho azy izany no fototry ny paikady fisorohana ny tsy fitandremana tena izy.
Fisorohana ny tsy fahafahana manao "slopsquat": izay azon'ny ekipa atao anio
Ny vaovao tsara dia tsy mitaky fitaovana hafa ny fisorohana ny tsy fahampian-tsakafo. Mitaky fampiharana tsy tapaka ny fomba fanao momba ny fahadiovana izay efa misy, saingy ekipa maro no miala sasatra rehefa "manoro hevitra" ny kaody ny AI atokisany. Ny fomba fiasa mahomby amin'ny fisorohana ny tsy fahampian-tsakafo dia mazàna mampifangaro ireto manaraka ireto:
- Hamarino tsara izay fonosana vaovao alohan'ny hametrahana azy, indrindra rehefa avy amin'ny soso-kevitry ny mpanampy AI. Hamarino tsara fa misy ao amin'ny rejisitra ofisialy izany, iza no miandraikitra izany, oviana no namoahana azy, ary raha toa ka tena izy ny isan'ny fampidinana azy. Io fahazarana tokana io no endrika mora indrindra amin'ny fisorohana ny tsy fahampian'ny fitaovana azo ampiasain'ny ekipa rehetra.
- Aza mihevitra mihitsy hoe azo antoka amin'ny alàlan'ny default ny kaody novokarin'ny AI. Ny sombin-kaody izay "miasa" dia tsy midika fa ara-dalàna ny fiankinan-dohany. Ny famerenana ny fiankinan-doha dia tokony ho anisan'ny famerenana ny kaody, fa tsy ho an'ny tsy fisian'izany.
- Ampiasao ny lockfiles sy ny fanamarinana hash mba hanamafisana ireo dikan-teny marina ary hampijanona ny fanavaozana mangina tsy hifanakalo amin'ny fonosana hafa noho ilay nojerena tany am-boalohany.
- Mametraha fitiliana fiankinan-doha izay manamarika ireo lamina mety hampidi-doza mihoatra ny CVE fantatra: fonosana tsy mahazatra, anarana mampiahiahy mitovy amin'ny efa misy, mpikojakoja vaovao tsy manana tantara, na script fametrahana misy fitondran-tena tsy mahazatra. Fonosana vao navoaka saika tsy misy tantara izay manahaka akaiky ny anaran'ny zavatra "saika" mahazatra no lamina ao ambadiky ny ankamaroan'ny fanafihana tsy voafehy voarakitra hatreto.
- Toy izany koa no fomba handraisana ireo rejisitra ho an'ny daholobecism toy ny loharano ivelany hafa tsy voamarina. Ny zava-misy izany pip install or npm install Ny tsy mamoaka hadisoana dia tsy porofon'ny maha-ara-dalàna.
- Mampiofana ekipa mpamorona ny hoe ny kaody ampiasain'ny AI dia tsy manala ny andraikitra hanamarina izay napetraka; manampy dingana iray mila ampidirina ao anatin'ny fizotran'ny asa fotsiny izany ho anisan'ny drafitra fisorohana ny tsy fitandremana lehibe.
Tsy misy amin'ireo fepetra ireo no vaovao raha irery. Ny fiovana dia ny ambaratonga: rehefa tsy avy amin'ny Stack Overflow na mpiara-miasa intsony ny soso-kevitra momba ny fiankinan-doha, fa avy amin'ny modely izay afaka mamerina ny fahadisoana mitovy amin'ny mpamorona an'arivony samihafa, dia tsy ampy intsony ny fanamarinana tanana, na dia mbola ilaina aza. Izany no mahatonga ny ekipa maro kokoa manamboatra ho azy ity sosona fisorohana ny slopsquatting ity ao anatin'ny... Famakafakana ny firafitry ny rindrambaiko (SCA) fitaovana, fa tsy avela amin'ny sehatry ny mpamorona tsirairay izany.
Ity dia mialohacisnahoana ASPM sehatra toy ny Xygeni manorina famantarana fiankinan-doha mampiahiahy, mandrakotra ny typosquatting, ny fisafotofotoana momba ny fiankinan-doha, ary ireo fonosana ratsy fantatra, ao anatin'ny fanadihadiana open-source sy AI-dependency mitovy. pipeline, noho izany dia tsy miankina amin'ny fitadivan'ny mpamorona rehetra ny manamarina izany isaky ny manolotra fiankinan-doha vaovao ny mpanampy AI.
FAQ
Mitovy ve ny fanafihana "slopsquatting" sy ny fanafihana "typosquatting"?
Tsy dia izany loatra. Samy mitaky fisoratana anarana sandoka amin'ny fonosana mba hamitahana izay mametraka azy, saingy samy hafa ny loharanon'ny fahadisoana. Ny typosquatting dia manararaotra ny fahadisoan'ny olombelona amin'ny fanoratana. Ny fanafihana slopsquatting dia manararaotra ny anaran'ny fonosana noforonin'ny maodely AI (nofinofy), izay soratan'ny mpanafika alohan'ny hisiany ara-dalàna.
Afaka misoroka ho azy ity karazana fanafihana ity ve ny mpitantana fonosana?
Tsy tanteraka, izany indrindra no mahatonga ny fisorohana ny slopsquatting tsy afaka mijanona eo amin'ny sehatry ny mpitantana fonosana. Raha misy mpanafika misoratra anarana ny fonosana nofinofy alohan'ny hanandraman'ny mpamorona mametraka azy, dia ho vita tsy misy hadisoana ny fametrahana satria tena misy ilay fonosana, na dia ratsy aza izany. Mila fanamarinana fanampiny momba ny niandohan'ny fonosana sy ny fitondran-tenany ny fisorohana mahomby.
Ireo maodely open-source ihany ve no misy fiantraikany amin'izany?
Tsia. Ny fanadihadiana nataon'i Spracklen et al. dia nahita fahitana zavatra tsy misy dikany tamin'ny modely rehetra nosedraina, anisan'izany ireo ara-barotra, na dia tamin'ny tahan'ny ambany kokoa aza (5.2% raha oharina amin'ny 21.7% ho an'ny modely open-source nodinihina). Tsy misy modely afaka tanteraka amin'io olana io, izay anisan'ny antony mahatonga ny fivoaran'ny slopsquatting hifanaraka amin'ny fitomboan'ny kaody ampiasain'ny AI amin'ny ankapobeny.
Loza ara-teorika ve ity, sa efa nisy nanararaotra azy?
The firaiketam-po Raha ny marina, fonosana foana iray nakarin'ny mpikaroka iray izay nosintonina in-30,000 mahery tao anatin'ny telo volana tsy nisy fampiroboroboana, dia mampiseho fa tsy teorika fotsiny ny mety ho risika: ny anarana foronina dia mila mifanaraka tsara amin'ny bitsika samihafa mba hahafahan'ny olona iray mamadika azy ho fanafihana tsy ara-dalàna.
