Amin'ny manaraka rehefa manoro hevitra ny fametrahana fonosana ny mpanampy AI, hojerenao ve raha tena misy izany? Ny ankamaroan'ny mpamorona rindrambaiko dia tsy manao izany. Io elanelana misy eo amin'ny soso-kevitra sy ny fanamarinana io no manomboka ny fanafihana slopsquatting, ary ao anatin'ny telo taona latsaka, dia nivoatra avy amin'ny porofon'ny mpikaroka momba ny hevitra ho amin'ny fanatanterahana kaody lavitra ao anatin'ny agents coding mahaleo tena ny fandrahonana. Ity lahatsoratra ity dia mandinika ny fivoaran'ny slopsquatting sy ny dikan'ny dingana tsirairay ho an'ny ekipa AppSec sy DevSecOps.
Vaovao eto? Atombohy amin'ny "primer"-nay Inona no atao hoe slopsquatting ary ahoana no fomba iarovana amin'izany, dia miverena haka ny fandaharam-potoana.
Fanafihana tsy misy dikany ao anaty fehintsoratra iray
Fanafihana tsy misy dikany misoratra anarana fonosana manimba amin'ny anarana izay azo inoana fa foronin'ny AI. Raha toa ka manararaotra ny tsipelina diso ataon'olombelona ny typosquatting fangatahana ho an'ny fangatahana, ny slopsquatting dia manararaotra ny maodely mihitsy amin'ny famoronana anarana azo inoana izay tsy misy ao amin'ny rejisitra, avy eo dia misy mpanafika milaza izany anarana marina izany alohan'ny hisian'ny olona ara-dalàna. Ny teny dia noforonin'i Seth Larson, Security Developer-in-Residence ao amin'ny Python Software Foundation, ary nalazain'i Andrew Nesbitt. Ny mahatonga ny lamina ho mendrika arahina dia ny hafaingan'ny fahamatorany.
Evolisiona tsy misy dikany
2023: ny famantarana voalohany
Nahatsikaritra i Bar Lanyado, mpikaroka momba ny fiarovana, fa maro ireo LLM no nanohy nanoro fonosana antsoina hoe firaiketam-po, izay tsy misy (ny fitaovana tena izy dia apetraka miaraka amin'ny pip install -U “huggingface_hub[cli]”). Mba hampisehoana ny loza mety hitranga, dia nandefa fonosana foana izy teo ambanin'io anarana nofinofy io. Tao anatin'ny telo volana dia efa nisy naka mihoatra ny in-30,000 ilay izy, tsy nisy fampiroboroboana mihitsy, ary niseho tao amin'ny README an'ny tahiry iray mifandray amin'ny fikarohana avy amin'ny orinasa teknolojia lehibe iray mihitsy aza ilay anarana sandoka. Tsy nampaninona ilay fonosana. Tsy izany no lesona azo: ny anarana nofinofy dia tsy maintsy mitovy tsara mba hahafahan'ny olona iray mampiasa azy ho fitaovam-piadiana.
2024: avy amin'ny lahatsoratra bilaogy mankany amin'ny fandrakofana mahazatra
Tamin'ny Martsa 2024, nitatitra ny The Register momba ireo maodely AI izay namorona tamim-pahatokiana anarana fonosana rindrambaiko izay nalain'ireo mpamorona rindrambaiko avy eo, ny sasany mety ho voapoizin'ny malware. Tsy dia zava-dehibe loatra ny fandrakofana noho izay nambarany ara-teknika fa noho izay nasehony: firaiketam-po Tsy fahalianana tampoka intsony izany fa famantarana voalohany amin'ny lamina lehibe izay ampy hanakianan'ny mpanao gazety teknolojia mahazatra, mialoha ny fanadihadiana goavana izay hanamafy ny sehatry ny fanadihadiana herintaona aty aoriana.
2025: ny fandrefesana hentitra voalohany
Ny lahatsoratra USENIX Security 2025 mitondra ny lohateny hoe "Manana fonosana ho anao izahay!" (Spracklen et al.) dia nanandrana modely famoronana kaody 16, ara-barotra sy open source, tamin'ny santionany Python sy JavaScript miisa 576,000. Nafindra avy amin'ny tantara fohy ho amin'ny angona izany:
- 19.7% amin'ireo fonosana natolotra no tsy nisy.
- Ireo maodely open-source dia matetika kokoa no nofinofy fotsiny (21.7% amin'ny ankapobeny) raha oharina amin'ireo ara-barotra (5.2%).
- Ireo nahavanon-doza ratsy indrindra, CodeLlama 7B sy 34B, dia nahita nofinofy tamin'ny mihoatra ny ampahatelon'ny vokatra azony.
- Manerana ireo maodely rehetra, ireo mpikaroka dia nandrakitra anarana tsy manam-paharoa mihoatra ny 205,000, vondrona iray lehibe ampy hampiroboroboana fanentanana maharitra manerana ny tontolo iainana.
Nosokajiana ihany koa ny fomba fiforonan'ireo anarana sandoka: 38% dia fitambarana anarana fonosana tena izy roa (ilay lamina izay niteraka taty aoriana) fiovan'ny kaody mihetsika avy amin'ny jscodeshift sy react-codemod), 13% dia karazana diso tsipelina amin'ny fonosana tena izy, ary 51% dia noforonina tsotra izay azo inoana fa noforonina tanteraka. Io vondrona voalohany io no tena zava-dehibe amin'ny fiarovana, satria ny anarana natambatra avy amin'ny fitaovana tena izy roa no sarotra hita indray mandeha.
Ny zavatra hita manan-danja indrindra ho an'ny mpanafika: tsy kisendrasendra ny fahitana zavatra tsy misy dikany ary tsy miova isaky ny andrana. Rehefa namerina nampiasa ireo fanontaniana mitovy impolo avy ireo mpikaroka, dia niseho isaky ny andrana ny 43%-n'ny anarana misy zavatra tsy misy dikany ary 58% no niverina mihoatra ny indray mandeha. Tsy mila maminavina ny mpanafika. Mandinika ny fihetsiky ny modely izy ireo, manamarika ireo anarana miverimberina, ary manoratra azy ireo aloha. Izany fahafahana miverimberina izany no mamadika ny fahitana zavatra tsy misy dikany indray mandeha ho fanafihana azo ampitomboina.
2026: avy amin'ny fonosana mitokana mankany amin'ny masoivoho mahaleo tena
Ity taona ity no namoaka porofo mazava indrindra hatreto fa ny fanaovana "slopsquatting" dia tsy voafetra ho an'ny mpamorona tranonkala mandika sy mametaka ny soso-kevitra intsony. npm install.
Tamin'ny Janoary 2026, nahita fonosana npm nofinofy i Charlie Eriksen, mpikaroka momba ny fiarovana. fiovan'ny kaody mihetsika, fa efa niparitaka nanerana ny tahiry 237 tamin'ny alàlan'ny forks ny toromarika momba ny agent novokarin'ny AI, ary mbola miezaka mametraka izany isan'andro ny agent. Avy amin'ny iray ihany no niaviany commit an'ireo rakitra fahaiza-manao ho an'ny mpiasan'ny masoivoho nosoratan'ny AI izay tsy mbola nojeren'olombelona. I Eriksen irery no nanoratra ny anarana, ho fiarovana, talohan'ny nahafahan'ny mpanafika nampiasa azy io ho fitaovam-piadiana.
Misaraka, fonosana tena ratsy fanahy antsoina hoe fanafarana tsy ampiasaina, nofinofy nofinofy ho solon'ny ara-dalàna eslint-plugin-tsy-nampiasaina-fanafarana, dia nanohy nanao fametrahana na dia efa napetraky ny npm teo ambany fiarovana aza izany, izay mampiseho ny faharetan'ny fanafihana slopsquatting izay afaka mahita niharam-boina na dia efa voamarika aza.
Avy eo, tamin'ny Jolay 2026, ireo mpikaroka dia nanoritsoritra teknika mifandraika amin'izany antsoina hoe "HalluSquatting" izay mampifandray ny fahitana zavatra tsy misy dikany amin'ny alalan'ny tsindrona haingana: ny agent coding AI izay maka loharano tsy misy dikany amin'ny anaran'ny mpampiasa dia azo alaina an-keriny mba hampandeha kaody avy amin'ny mpanafika. Izany dia manitatra ny fivoaran'ny slopsquatting avy amin'ny risika fametrahana passive ho lasa vector active remote-execution code ao anatin'ny workflows development agentic.
Nahoana ny "vibe coding" no nanitatra ny velaran'ny fanafihana
Tsy dia hisy dikany loatra ny fanaovana "slopsquatting" raha toa ka natao manokana ny kaody novokarin'ny AI. Tsy izany anefa no izy. Ny fitomboan'ny mpanampy amin'ny "coding", ny "agent autonomous", ary ny "vibe coding", izay tsy dia andinihan'ny mpamorona ny kaody loatra alohan'ny hampiasana azy, dia nanova ny endriky ny fanafihana tamin'ny fomba roa mivaingana.
Voalohany, tsy ny mpamorona rindrankajy ihany intsony no fidirana. Ny fanafihana typosquatting dia miankina amin'ny olona iray manoratra diso. Ankehitriny ny fahadisoana dia avy ao anatin'ny modely ary miely any amin'ny mpamorona rindrankajy an-jatony izay mametraka fanontaniana mitovy ary mahazo torohevitra mitovy amin'izany.
Faharoa, niakatra ny rojo ny velaran'ny fanafihana. Tsy ampy intsony ny mijery ny kaody soratan'ny olombelona. Tsy maintsy mijery ireo fiankinan-doha atolotry ny mpanampy AI, ireo mpizara MCP ifandraisiny, ary ireo agents izay mametraka fonosana tsy misy olombelona ao anatin'ny loop ny ekipa. AppSec nentim-paharazana, namboarina mba handinihana ireo repositories sy ny olombelona commits, dia tsy natao mihitsy handinika izany fifandraisana misy eo amin'ny mpamorona rindrambaiko, ny AI, ary ny rejisitra izany, izay tena iafenan'ny slopsquatting ankehitriny.
Ny dikan'izany ho fisorohana
Tsy misy amin'izany no mahatonga ny AI generative ho tsy azo antoka. Mampiditra risika amin'ny rojo famatsiana izay tsy natao hisambotra ny fitaovana nentim-paharazana izany, ary mitaky ny fitsipiky ny fanamarinana izay efa ampiharina amin'ny fiankinan-doha ivelany rehetra: aza matoky amin'ny alàlan'ny default, hamarino ny loharano, ary mandeha ho azy izany fanamarinana izany fa tsy miantehitra amin'ny fahatsiarovan'ny mpamorona tsirairay. Ny boky torolàlana feno momba ny fiarovana dia ao amin'ny torolàlana ho an'ny Fiarovana ny rojo famatsiana AI, fa ny dikan-teny fohy dia hoe ny fanamarinana tanana, na dia mbola ilaina aza, dia mijanona tsy mivelatra raha vao afaka mahatratra mpamorona an'arivony indray mandeha ny anarana nofinofy iray, na raha afaka mametraka izany tsy misy fandinihana avy amin'olombelona mihitsy ny masoivoho.
Atsaharo ny fonosana misy nofinofy alohan'ny hametrahan'ny masoivoho azy ireo
Mitovy toetra iray ireo tranga tamin'ny taona 2026: mitranga tsy misy olombelona ao anatin'ilay tsingerina ny fametrahana mampidi-doza. Izany no elanelana marina. Xygeni Shield dia natao ho an'ny. Shield dia agent maivana eo amin'ny endpoint-n'ny mpamorona izay manakana ireo fonosana manimba amin'ny fotoana fametrahana, amin'ny fampiasana Fampitandremana mialoha momba ny rindrambaiko maloto (MEW) didim-pitsarana izay miasa alohan'ny hisian'ny sonia. Rehefa manandrana mametraka fonosana vaovao voasoratra ara-dalàna ny mpanampy AI na mpiasa mahaleo tena, Shield manombana azy rehefa alaina ary manakana azy, ka tsy mandeha mihitsy ny script fametrahana, na misy olombelona mijery na tsia. Mikoriana ao anatin'ny iray ihany ny sakana rehetra Xygeni console ho toy ny kaody, fananganana, ary ny fikarohana momba ny runtime, ary Shield mifanaraka amin'ny EDR efa misy anao fa tsy mifanohitra amin'izany.
Atombohy maimaim-poana. €0 ny drafitry ny mpamorona an'ny Xygeni: 10 tahiry, scan 200 isam-bolana, hatramin'ny mpandray anjara 5, tsy misy carte de crédit. Sign up with GitHub, GitLab, na Google ary ataovy ao anatin'ny 10 minitra latsaka ny scan voalohany nataonao; Shield Ho avy tsy ho ela ao amin'ny drafitry ny Developer ny fiarovana ny endpoint.
FAQ
Afaka misoroka ny slopsquatting irery ve ny mpitantana fonosana?
Tsy tanteraka. Ny fitadiavana fifandonana amin'ny npm dia manakana ireo anarana mitovy loatra amin'ny fonosana efa misy, izay manampy amin'ny tsy fanoratana diso, fa ny anarana tsy misy dikany dia tady vaovao tsy misy fifandonana hita. Raha misy mpanafika manoratra ny fonosana tsy misy dikany alohan'ny hametrahan'ny mpamorona azy, dia vita tsy misy hadisoana ny fametrahana satria tena misy ilay fonosana. Mila fanamarinana ny niandohan'ny fonosana sy ny fitondran-tenany ny fisorohana, fa tsy ny fanamarinana ataon'ny rejisitra fotsiny.
Inona no mampiavaka ny raharahan'ny mpandraharaha tamin'ny taona 2026 amin'ny raharaha fanodinkodinana tsy ara-dalàna teo aloha?
Ireo tranga teo aloha dia niankina tamin'ny fandikana sy fametahana nataon'olombelona ny baiko fametrahana natolotra. Tamin'ireo tranga tamin'ny taona 2026, ireo masoivoho tsy miankina dia nametraka na nanandrana nametraka fonosana tsy misy fanazavana nefa tsy nisy olona nijery ny dingana, ary ny teknika HalluSquatting dia nanohy ny dingana tamin'ny fampifandraisana ny tsy fanazavana amin'ny alalan'ny fampidirana haingana mba hanatanterahana ny fampiharana kaody lavitra ao anatin'ny fizotran'ny fiasan'ny masoivoho.
