Tamin'ny taona 2023, nanao andrana mangina ny mpikaroka momba ny fiarovana antsoina hoe Bar Lanyado. Nahatsikaritra izy fa nanoro hevitra fonosana Python antsoina hoe firaiketam-po, fonosana iray izay tsy nisy. Koa namorona azy io izy: toerana banga, nakarina tamin'ny anarana tena noforonin'ireo modely. Tsy nanampy fiasa na entana izy. Niandry fotsiny izy.
Tao anatin'ny telo volana, dia efa nisy naka mihoatra ny in-30,000 ilay fonosana. Ny baiko fametrahana nofinofy dia efa tafiditra tao amin'ny README an'ny orinasa teknolojia lehibe iray mihitsy aza. Tsy nampaninona ny fonosana an'i Lanyado. Saingy nanaporofo zavatra nanahiran-tsaina ilay fanandramana: afaka maminavina izay hoforonin'ny AI ny mpanafika, misoratra anarana izany aloha, ary mamela ny mpamorona hametraka izany ho azy. Manana anarana io teknika io ankehitriny, mipetrapetraka tsy misy ilana azy, ary iray amin'ireo fandrahonana mitombo haingana indrindra eo amin'ny rojo famatsiana rindrambaiko izany.
Inona no atao hoe slopsquatting?
Ny fipetrahana mihodinkodina dia fanafihana amin'ny rojo famatsiana izay andraiketan'ny mpanafika iray fonosana rindrambaiko manimba amin'ny anarana izay azo inoana fa foronin'ireo mpanampy amin'ny kaody AI. Rehefa mangataka fanampiana amin'ny fitaovana AI ny mpamorona rindrambaiko iray ary manolo-kevitra ny hametraka fiankinan-doha izay toa azo inoana nefa tsy misy, dia efa nilaza io anarana io tao amin'ny rejisitra ho an'ny daholobe ilay mpanafika, ka ny soso-kevitra "mahasoa" dia mametraka malware fa tsy mametraka na inona na inona.
Ny teny dia noforonin'i Seth Larson tamin'ny Aprily 2025, mpamorona fiarovana miasa ao amin'ny Python Software Foundation. Lalao an-tsehatra fotsiny izany typosquatting, ilay fanafihana taloha izay andikana diso tsipelina amin'ireo fonosana malaza ireo jiolahy (fangatahana raha tokony ho fangatahanaNy mahasamihafa azy dia ny loharanon'ny fahadisoana: ny typosquatting dia manararaotra ny lesoka ataon'olombelona, raha ny slopsquatting kosa dia manararaotra ny "slop" an'ny AI: ny vokatra matoky tena, milamina tsara ary diso izay vokarin'ny modely fiteny lehibe.
Nahoana no tena mandaitra ny slopsquatting
Mety hihevitra ianao fa feo kisendrasendra fotsiny ny fahitana zavatra tsy misy dikany amin'ny alalan'ny artifisialy: anarana sandoka samihafa isaky ny mandeha, tsy azo ampiasaina ho fitaovam-piadiana. Ny fikarohana kosa milaza ny mifanohitra amin'izany, ary izany no tena zava-dehibe.
Fianarana nojeren'ny mpiara-mianatra naseho tao amin'ny USENIX Security 2025 (Spracklen et al.) Nanao andrana tamin'ny fiteny lehibe miisa 16 tamin'ny santionan'ny kaody novokarina miisa 576,000. Nahita izy fa tsy nisy ny 19.7%-n'ny fonosana natolotra: anarana tsy manam-paharoa miisa 205,474 amin'ny fitambarany. Ny tena zava-dehibe dia ireo sary tsy misy ireo dia azo averina43%-n'ny anarana sandoka no niseho indray tamin'ireo fangatahana miverimberina, ary 58% no niverina tamin'ny fikarohana mitovy folo. Ny modely open-source dia nanonofy fonosana 21.7% tamin'ny fotoana; na dia ny modely ara-barotra toa ny GPT-4 aza dia nanao izany 5.2% tamin'ny fotoana: iray amin'ny roapolo.
Ny famerimberenana no mamadika ny "quirk" ho fanafihana. Tsy mila maminavina ny mpanafika. Afaka mampiasa "prompts" malaza izy ireo, mirakitra hoe inona avy ireo fonosana tsy misy izay atolotry ny modely, ary manoratra ireo anarana ireo ho malware. Ny AI no mikendry azy ireo.
Ahoana no fomba fiasan'ny fanafihana tsy ara-dalàna
Fohy ny rojo fanafihana, izay anisan'ny antony maha-mampidi-doza azy:
- Nijery. Ny mpanafika dia mandefa asa fampandrosoana mahazatra ho an'ireo mpanampy amin'ny fanoratana kaody AI ary mirakitra ny anaran'ny fonosana noforonin'ireo fitaovana ireo saingy tsy misy ao amin'ny rejisitra.
- Misoratra anarana. Mamoaka fonosana mampidi-doza amin'ny iray amin'ireo anarana sandoka ireo izy ireo, miaraka amin'ny README madio, metadata azo inoana, ary entana miafina ao anaty script fametrahana.
- Andraso. Mametraka fanontaniana mitovy amin'izany amin'ny fitaovana AI ny mpamorona rindrambaiko (na mpandraharaha kaody mahaleo tena), mahazo torohevitra mitovy amin'izany, ary mampiasa hametraka.
- manatanteraka. Mandrehitra "hook" ny fonosana rehefa mametraka azy, mamoaka tsiambaratelo, manokatra "reverse shell", na mametraka "backdoor", ary ny fatiantoka dia mikoriana mankany amin'ny fananganana sy famokarana.
Mahatonga ny dingana faha-3 ho azo inoana kokoa ny fampiasana "agent" mahaleo tena amin'ny "coding". Ny "agent" mametraka "dependencies" tsy misy fanaraha-maso ataon'olombelona dia manala ny teboka fanamarinana iray izay mety nijanonan'ny mpamorona rindrambaiko ary nieritreritra hoe: "Mbola tsy naheno momba izany fonosana izany aho."
Tena ratsy ve izany?
Miharatsy kokoa fa tsy mihatsara. Nanao fitsapana modely 16 ny USENIX ary mbola nahita fa efa ho iray amin'ny fonosana dimy atolotra no tsy misy, ka tsy olana voafetra ho an'ny fitaovana efa tranainy na malemy kokoa izany. Ary ny mpanampy amin'ny fanoratana kaody miasa amin'ny angon-drakitra fiofanana irery dia tsy afaka mahafantatra raha azo antoka, na nofinofy fotsiny, na efa voamarika ho malware ny anaran'ny fonosana vao narosony: tsy manana fijery mivantana ny rejisitra izy. Tsy zavatra mahaliana ao amin'ny laboratoara izany. Izany no fitondran-tena marina ianteheran'ny mpamorona ankehitriny imbetsaka isan'andro.
Mitombo ihany koa ny tsy fahampian'ny fitaovana fiarovana amin'ny alalan'ny "slopsquatting" miaraka amin'ny fihenan'ny fahadiovan'ny rojo famatsiana. Tamin'ny taona 2025, ny fampielezan-kevitra feno hasomparana dia lasa modely fototra ho an'ny fanafihana amin'ny rojo famatsiana, araka ny voalazan'ny Xygeni's New AppSec Attack Trends for 2026: ireo mpanafika dia mamoaka betsaka, manaiky fanesorana haingana, ary miantehitra amin'ny mety ho azo atao, ary ny fahitana zavatra tsy misy dikany amin'ny alalan'ny AI dia manome azy ireo anarana miovaova be tsy tapaka hosoratana anarana.
Ahoana no fomba hiarovana amin'ny slopsquatting
Ny marina tsy mahafinaritra dia tsy afaka mahazo izany ireo fitaovana mifototra amin'ny sonia. Vaovao tanteraka ny fonosana slopsquatted; tsy misy CVE, tsy misy sonia, ary mety ho velona mandritra ny ora vitsivitsy monja alohan'ny hanesorana azy, ampy tsara hahazoana fametrahana an'arivony. Ny fiarovana mahomby dia miankina amin'ny fampiharana efatra:
- Aza mametraka fonosana atolotry ny AI raha tsy efa voamarina tsara fa misy izy io ary ara-dalàna. Jereo ny tantaran'ny fisintomana, ny mpikarakara ary ny tahiry tena izy, fa tsy hoe marina fotsiny ny anarany.
- Fantaro amin'ny alalan'ny fihetsika fa tsy amin'ny sonia ny malware. Omeo isa ny fonosana amin'ny fotoana famoahana amin'ny hetsika ataony amin'ny fotoana fametrahana, ny antso an-tambajotra, ary lamina fanafenana, ka ny fonosana mampidi-doza dia asiana marika raha vao miseho izy fa tsy rehefa avy fantatra sahady.
- Mametraha rindranasa fiarovana amin'ny fiankinan-doha eo amin'ny mpamorona rindrambaiko sy ny rejisitra. Arovy ho azy ireo fonosana mampiahiahy na vaovao alohan'ny hahatongavany amin'ny fananganana, fa aza matoky ny rejisitra ho an'ny daholobe amin'ny alàlan'ny default.
- Manaova lisitra izay AI miasa ao amin'ny solosainao pipeline. Ireo mpanampy amin'ny fanoratana kaody sy ireo mpiasa mahaleo tena izay mametraka fiankinan-doha dia anisan'ny sehatra fanafihanao. Famoahana ny antontan-taratasy momba ny AI (AI-BOM) mahatonga izany ho hita maso.
Ny fihozongozonana dia soritr'aretina iray amin'ny fiovana lehibe kokoa
Ny "slopsquatting" no ohatra mazava indrindra amin'ny lamina mivelatra kokoa: ny AI izao no sady zavatra manoratra ny kaody anao no zavatra tondroin'ny mpanafika ao amin'ny rojo famatsianao. Tsy ampy ny miaro tena amin'izany mitokana; tafiditra ao anatin'ny paikady mivelatra kokoa izany. Raha mila sary feno, jereo ny torolàlana momba ny Fiarovana ny rojo famatsiana AI, izay mandrakotra ireo fonosana manimba, Loza ateraky ny MCP, ary kaody novokarin'ny AI miaraka amin'ireo fiarovana izay mamaha azy ireo.
Atsaharo ny fanaovana "slopsquat" alohan'ny hahatongavany any amin'ny tranonao
Ny toerana mahomby indrindra hampijanonana fonosana tsy mandeha tsara dia ny fotoana andrandrain'ny mpamorona rindrambaiko hametraka azy, alohan'ny handehanan'ny script fametrahana mihitsy. Izany no izy Xygeni Shield no. Shield dia agent maivana eo amin'ny endpoint-n'ny mpamorona izay manakana ireo fonosana manimba amin'ny fotoana fametrahana, amin'ny fampiasana Fampitandremana mialoha momba ny rindrambaiko maloto (MEW) didim-pitsarana izay miasa alohan'ny hisian'ny sonia. Rehefa manolotra fiankinan-doha amin'ny alalan'ny nofinofy ny mpanampy AI ary mihazakazaka ny mpamorona hametraka, Shield manombana ny fonosana rehefa alaina ary manakana azy: tsy miasa mihitsy ilay script mampidi-doza aorian'ny fametrahana, ary mahita ny andrana amin'ny fomba feno ny ekipa fiarovana.
Satria ny MEW dia manome isa ny fihetsiky ny fonosana iray raha vao avoaka (hetsika mandritra ny fametrahana, antso an-tambajotra, lamina fanafenana), Shield Mahatratra tsara ireo fonosana vaovao tsy mbola misy sonia izay iankinan'ny slopsquatting, miaraka amin'ny typosquatting, ny fisafotofotoana momba ny fiankinan-doha, ary ny tsy fahatomombanan'ny mpikojakoja. Ny bloc tsirairay dia mikoriana ao amin'ny console Xygeni mitovy amin'ny kaody, ny fananganana, ary ny fikarohana momba ny runtime, ka tsy misy vaovao. dashboard ary tsy misy fifandraisana vaovao amin'ny mpivarotra, ary Shield mifanaraka amin'ny EDR efa misy anao, fa tsy mifanohitra amin'izany.
Atombohy maimaim-poana. €0 ny drafitry ny mpamorona an'ny Xygeni: 10 tahiry, scan 200 isam-bolana, hatramin'ny mpandray anjara 5, tsy misy carte de crédit. Sign up with GitHub, GitLab, na Google ary ataovy ao anatin'ny 10 minitra latsaka ny scan voalohany nataonao; Shield Ho avy tsy ho ela ao amin'ny drafitry ny Developer ny fiarovana ny endpoint.
FAQ
Tena loza mitatao ve ny fanaovana tsirambina sa petra-kevitra fotsiny?
Tena izy io. Ny porofon'ny hevitra tamin'ny taona 2023 nataon'ny mpikaroka Bar Lanyado dia nahita fonosana iray napetraka teo ambanin'ny anarana nofinofy (firaiketam-po) nosintonina mihoatra ny in-30,000 tao anatin'ny telo volana. Hitan'ny fanadihadiana nataon'ny USENIX Security 2025 fa 19.7% amin'ireo fonosana atolotry ny AI no tsy misy, ary 43% amin'ireo anarana nofinofy ireo no miverimberina amin'ny alalan'ny bitsika, midika izany fa afaka maminavina sy mirakitra azy ireo ny mpanafika.
Inona no mahasamihafa ny slopsquatting sy ny typosquatting?
Manararaotra ny fahadisoana nataon'olombelona ny Typosquatting amin'ny alàlan'ny fanoratana diso ny fonosana malaza (fangatahana ho an'ny fangatahanaManararaotra ny fahitana zavatra tsy misy dikany amin'ny alalan'ny AI ny Slopsquatting amin'ny fanoratana ireo anarana fonosana azo antoka nefa diso izay foronin'ireo maodely fiteny lehibe. Samy mikendry ny hamitaka ny mpamorona rindrambaiko izy roa ireo mba hametraka fonosana ratsy, saingy samy hafa ny fahadisoana ampiasainy ho fitaovam-piadiana.
Afaka matoky ireo mpanampy amin'ny fanoratana kaody AI ve aho mba hanolotra safidy mifandraika amin'izany?
Tsy maintsy misy fanamarinana. Na dia ireo maodely ara-barotra malaza aza dia mino an-tsary ireo fonosana izay tsy misy eo amin'ny 5% eo ho eo, ary ny fanadihadiana vaovao dia nahita fa efa ho 28% amin'ireo soso-kevitra momba ny fanavaozana ny fiankinan-doha avy amin'ny maodely ankehitriny no nofinofy fotsiny. Hamarino tsara foana fa tena misy ary ara-dalàna ny fonosana natolotra alohan'ny hametrahana azy.
Ahoana no fomba hiarovako ny codebase-ko amin'ny slopsquatting?
Hamarino tsara ireo fonosana natolotry ny AI alohan'ny hametrahana azy, fantaro amin'ny alalan'ny fihetsika ataon'ny malware amin'ny fotoana famoahana azy fa tsy miandry sonia, apetraho eo anelanelan'ny mpamorona rindrambaiko sy ny rejisitra ho an'ny daholobe ny rindranasa fiarovana, ary tazomy ny lisitry ny fitaovana sy ny agents AI miasa ao amin'ny AI-BOM anao. pipeline.
