Slopsquatting ဆိုတာ ဘာလဲ။

slopsquatting ဆိုတာ ဘာလဲ။ ဒါဟာ တိုက်ခိုက်မှုတစ်ခုပါ AI coding assistant တွေက မှားယွင်းစွာမြင်ယောင်စေတဲ့ package name အတိအကျကို malware နဲ့ load လုပ်ပြီး developer တစ်ယောက်က install လုပ်တဲ့အထိ စောင့်ရတဲ့ malicious activator တွေပါ။ ဒါဟာ edge case မဟုတ်ပါဘူး။ မှာ တင်ပြထားတဲ့ သုတေသနမှာ USENIX လုံခြုံရေး ၂၀၂၅၊ ကုဒ်နမူနာ ၅၇၆,၀၀၀ တွင် AI ကုဒ်ကုဒ်မော်ဒယ်များမှ အကြံပြုထားသော package ၁၉.၇% မှာ မရှိခဲ့ဘဲ သုတေသီများသည် စမ်းသပ်ထားသော မော်ဒယ်များတွင် ထူးခြားသော အာရုံပျံ့လွင့်စေသောအမည် ၂၀၅,၀၀၀ ကျော်ကို မှတ်တမ်းတင်ခဲ့ကြသည်။

slopsquatting ဆိုတာဘာလဲ (နဲ့ slopsquatting ရဲ့ အဓိပ္ပာယ်က လက်တွေ့မှာ ဘယ်လိုပုံစံရှိလဲဆိုတာ) ကို နားလည်ဖို့ အရေးကြီးပါတယ်။ ဘာလို့လဲဆိုတော့ ဒါဟာ AI ရဲ့ ထူးခြားချက်တစ်ခု မဟုတ်လို့ပါ။ Slopsquatting ဟာ ​​AI ခေတ်ရဲ့ ဆက်ခံသူပါ။ ရေပန်းစား၊ အရေးကြီးသော ကွာခြားချက်တစ်ခုရှိသည်- typosquatting သည် လူသား၏ စာရိုက်အမှားပေါ်တွင် မူတည်ပြီး slopsquatting သည် မော်ဒယ်၏ အမှားပေါ်တွင် မူတည်ပြီး တိုက်ခိုက်သူတစ်ဦးက ၎င်းကို အတိုင်းအတာတစ်ခုအထိ အသုံးချရန် လုံလောက်သော ကြိုတင်ခန့်မှန်းနိုင်သည့်အတိုင်း ထပ်ခါတလဲလဲ ပြုလုပ်သည်။ ဤလမ်းညွှန်ချက်သည် slopsquatting ဆိုတာဘာလဲ၊ package review က ဖမ်းယူနိုင်တာထက် ဘာကြောင့် ပိုမြန်စွာ ပျံ့နှံ့တာလဲ၊ ဘာတွေက ဖန်တီးပေးသလဲ၊ နှင့် ထုတ်လုပ်မှုမရောက်မီ အဖွဲ့အစည်းများက ၎င်းကို မည်သို့ရှာဖွေတွေ့ရှိပြီး ကာကွယ်နိုင်ပုံကို ရှင်းပြသည်။

Slopsquatting ၏ အဓိပ္ပါယ်: အဓိပ္ပါယ်ဖွင့်ဆိုချက် #

Slopsquatting ၏ အဓိပ္ပာယ်မှာ တရားဝင်အားဖြင့်- ကြီးမားသော ဘာသာစကားမော်ဒယ်တစ်ခုက အာရုံလွဲစေသော package name တစ်ခုကို မှတ်ပုံတင်ခြင်း၊ ယုတ္တိတန်သည်ဟု ထင်ရသော်လည်း မည်သည့် public registry တွင်မျှ မရှိသော တီထွင်ထားသော အမည်တစ်ခုနှင့် ၎င်းကို malicious code ဖြင့် ထည့်သွင်းခြင်း ဖြစ်သည်။ တကယ့် developer တစ်ယောက်က AI ရဲ့ အကြံပြုချက်အပေါ် အခြေခံပြီး ထည့်သွင်းခြင်းမပြုမီ.

ဒီအသုံးအနှုန်းက typosquatting (အများသုံး စာလုံးပေါင်းအမှားတစ်ခုကနေ တကယ့် package နာမည်ကို အတုယူတဲ့ package နာမည်ကို မှတ်ပုံတင်ခြင်း) ရဲ့ သဘောတရားကို generative AI ရဲ့ သီးခြား failure mode အထိ တိုးချဲ့ထားပါတယ်။ typosquatting က လူသားရဲ့ typo ကို အခွင့်ကောင်းယူပြီး slopsquatting က exploit လုပ်ပါတယ်။ AI မော်ဒယ်ရဲ့ မှားယွင်းတဲ့အမြင်n: coding assistant သည် ယခင်က မရှိခဲ့ဖူးသော package အတွက် pip install သို့မဟုတ် npm install ကို အကြံပြုပြီး prompts များတွင် ထပ်ခါတလဲလဲ တီထွင်ထားသော အမည်တူကို သတိပြုမိသော attacker သည် ၎င်းကို ဦးစွာ မှတ်ပုံတင်သည်။

Slopsquatting ရဲ့ အဓိပ္ပာယ်ကတော့ လက်တွေ့ကျကျပြောရရင် ဒီလိုပါ။ AI ရဲ့ အကြံပြုချက်ကို ယုံကြည်ရုံကလွဲလို့ လူသားအမှား မလိုအပ်ဘဲ မော်ဒယ်ရဲ့ အမှားကို အလုပ်လုပ်တဲ့ exploit အဖြစ် ပြောင်းလဲပေးတဲ့ supply chain တိုက်ခိုက်မှုတစ်ခုပါ။ ဒါဟာ သီအိုရီအရ မဟုတ်ပါဘူး။ ၂၀၂၃ ခုနှစ်မှာ စမ်းသပ်ဖို့ ကောင်းမွန်တဲ့ စမ်းသပ်မှုတစ်ခုအဖြစ် ထည့်သွင်းခဲ့တဲ့ hallucinated package တစ်ခုတည်းဟာ သုံးလအတွင်း download ၃၀,၀၀၀ ကျော် ရရှိခဲ့ပြီး promotion လုံးဝမပြုလုပ်ခဲ့ဘဲ ဒီပုံစံအတိုင်း အသုံးချနေတဲ့ malicious variants တွေဟာ ဒီနေ့ခေတ်မှာ public registry တွေမှာ live ဖြစ်နေတယ်ဆိုတာကို အတည်ပြုခဲ့ပါတယ်။

Slopsquatting နဲ့ Typosquatting: ဘာကွာခြားချက်ရှိလဲ။ #

Slopsquatting နှင့် typosquatting တို့သည် ရလဒ်တူညီကြသည် (developer သည် ၎င်းသည် တရားဝင်သည်ဟု ယုံကြည်ကာ malicious package တစ်ခုကို install လုပ်သည်)၊ သို့သော် အမှား၏ရင်းမြစ်မှာ လုံးဝကွဲပြားသည်။

Typosquatting သည် လူသားစာရိုက်အမှားပေါ်တွင် မူတည်သည်- developer သည် request များကို ရိုက်ထည့်ပြီး reqeust များကို ရိုက်ထည့်ရန် ရည်ရွယ်ပြီး ထိုမှားယွင်းသောစာလုံးပေါင်းထားသော အမည်ကို မှတ်ပုံတင်ထားသော attacker သည် စောင့်ဆိုင်းနေပါသည်။ developer တစ်ဦးတည်း၏ keystroke၊ ဂရုမစိုက်မှုတစ်ခဏတာတို့ကြောင့် အန္တရာယ်ရှိသည်။

Slopsquatting သည် လူသားအမှားကို လုံးဝဖယ်ရှားပြီး မော်ဒယ်၏အမှားဖြင့် အစားထိုးသည်၊ ၎င်းသည် အလားတူ prompt ကိုလက်ခံရရှိသော developer တိုင်းတွင် အတိုင်းအတာတစ်ခုအထိ ထပ်ခါတလဲလဲဖြစ်ပေါ်သည်။ သုတေသီများသည် တူညီသော prompt များကို ဆယ်ကြိမ်စီ ပြန်လည်လုပ်ဆောင်သောအခါ၊ hallucinated package အမည် ၄၃% သည် တစ်ကြိမ်တည်းတွင် ပေါ်လာပြီး ၅၈% သည် တစ်ကြိမ်ထက်ပို၍ ထပ်ခါတလဲလဲဖြစ်ပေါ်ကြောင်း နောက်ဆက်တွဲခွဲခြမ်းစိတ်ဖြာမှုတွင် တွေ့ရှိခဲ့သည်။ ထိုထပ်ခါတလဲလဲလုပ်ဆောင်နိုင်မှုသည် slopsquatting ကို အသုံးချနိုင်စေသည့်အရာဖြစ်သည်- တိုက်ခိုက်သူသည် စာလုံးပေါင်းအမှားကို ခန့်မှန်းရန်မလိုအပ်ပါ။ ၎င်းတို့သည် မော်ဒယ်တစ်ခုသည် မည်သည့် hallucinated အမည်ကို ထပ်ခါတလဲလဲလုပ်ဆောင်နေသည်ကို စောင့်ကြည့်ပြီး developer အစစ်အမှန်တစ်ဦးမလုပ်မီ ၎င်းကို မှတ်ပုံတင်ရန်သာ လိုအပ်ပါသည်။

အကြီးမားဆုံးကွာခြားချက်ကတော့ scale ပါ။ typosquatted package တစ်ခုဟာ စာရိုက်တဲ့ မတော်တဆမှုကို စောင့်ပါတယ်။ slopsquatted package တစ်ခုကတော့ AI ကထုတ်ပေးတဲ့ အကြံပြုချက်တစ်ခုတည်းကို နောက် developer ဆီရောက်ဖို့၊ နောက် developer ဆီရောက်ဖို့၊ နောက် developer ဆီရောက်ဖို့၊ နောက် developer ဆီကိုရောက်ဖို့၊ တူညီတဲ့ model ကိုသုံးတဲ့ organization တိုင်းမှာ ရှိနေပါတယ်။

Slopsquatting Spreads ကို ဘာကြောင့်သုံးသင့်တာလဲ။ #

Slopsquatting သည် typosquatting အမြဲရှိရသည့် အကြောင်းရင်းနှင့် အတူတူပင် ပွားများလာပါသည်- တိုက်ခိုက်သူများသည် developer များ default အနေဖြင့် ယုံကြည်ရသော ခန့်မှန်းနိုင်သော ပုံစံကို အသုံးချကြသည်။ အသစ်အဆန်းမှာ ယုံကြည်မှုစကေးဖြစ်သည်။

AI အထောက်အကူပြု coding များ တိုးတက်လာခြင်း၊ autonomous agent များနှင့် developer များသည် code ကို run မလုပ်မီ ပြန်လည်သုံးသပ်မှု နည်းပါးလာသည့် “vibe coding” workflow များသည် software attack မျက်နှာပြင်ကို ခိုင်မာသော နည်းလမ်းနှစ်ခုဖြင့် ပြောင်းလဲစေခဲ့သည်။

ဝင်ရောက်ရာနေရာဟာ developer တစ်ယောက်တည်း မဟုတ်တော့ပါဘူး။ typosquatting တိုက်ခိုက်မှုဟာ လူတစ်ယောက်ရဲ့ စာရိုက်အမှားပေါ်မှာ မူတည်ပါတယ်။ Slopsquatting ဟာ ​​မော်ဒယ်ကိုယ်တိုင်ကနေ စတင်ပြီး အလားတူမေးခွန်းတွေ မေးပြီး တူညီတဲ့ hallucinated recommendation တွေကို ရရှိတဲ့ developer ရာပေါင်းများစွာဆီကို ပျံ့နှံ့သွားနိုင်ပြီး တစ်ခုတည်းသော တိုက်ခိုက်မှုရဲ့ သက်ရောက်မှုကို မြှောက်နိုင်ပါတယ်။

တိုက်ခိုက်မှုမျက်နှာပြင်ဟာ ကွင်းဆက်တစ်လျှောက် ပိုမြင့်လာပါပြီ။ လူသားတစ်ယောက်ရေးတဲ့ ကုဒ်ကို ပြန်လည်သုံးသပ်ရုံနဲ့ မလုံလောက်တော့ပါဘူး။ အဖွဲ့တွေဟာ AI လက်ထောက်က အကြံပြုတဲ့ dependencies တွေ၊ သူချိတ်ဆက်တဲ့ MCP server တွေနဲ့ တိုက်ရိုက်လူသားပြန်လည်သုံးသပ်မှုမရှိဘဲ package တွေကို အလိုအလျောက်ထည့်သွင်းတဲ့ agent တွေကိုလည်း စောင့်ကြည့်ဖို့ လိုအပ်ပါတယ်။ repositories တွေနဲ့ လူသားတွေကို ပြန်လည်သုံးသပ်ဖို့ တည်ဆောက်ထားတဲ့ ရိုးရာ AppSec commits ကို developer၊ AI နှင့် package registry အကြား ဤအပြန်အလှန်ဆက်သွယ်မှုအသစ်ကို လေ့လာရန် ဒီဇိုင်းထုတ်ထားခြင်းမဟုတ်ပါ၊ ၎င်းမှာ slopsquatting ပုန်းအောင်းနေသည့်နေရာဖြစ်သည်။

Slopsquatting အန္တရာယ်များ #

Slopsquatting သည် တစ်ခုနှင့်တစ်ခု ပေါင်းစပ်ထားသော ရှုထောင့်များတစ်လျှောက်တွင် အန္တရာယ်များကို ဖန်တီးပေးပြီး၊ လမ်းကြောင်းသည် ပျောက်ကွယ်သွားမည့်အစား မြန်ဆန်လာနေပါသည်။

• ထပ်ခါတလဲလဲ အသုံးချမှု။ အာရုံပျံ့လွင့်စေသောအမည်များသည် ကျပန်းမဟုတ်သောကြောင့်၊ တူညီသောအတုအယောင်အမည်သည် session များနှင့် model များတွင် ကြိုတင်ခန့်မှန်းနိုင်စွာ ပြန်လည်ပေါ်လာပါသည်။ တိုက်ခိုက်သူများသည် ခန့်မှန်းရန်မလိုအပ်ပါ။ ၎င်းတို့သည် မော်ဒယ်အပြုအမူကို လေ့လာပြီး ထပ်ခါတလဲလဲဖြစ်နေသော အမည်များကို မှတ်ပုံတင်ရုံသာ လိုအပ်ပြီး တစ်ကြိမ်တည်းသော အာရုံပျံ့လွင့်မှုကို တိုးချဲ့နိုင်ပြီး ထပ်ခါတလဲလဲ တိုက်ခိုက်မှုအဖြစ်သို့ ပြောင်းလဲပေးပါသည်။
• အေးဂျင့်မှတစ်ဆင့် မျိုးပွားခြင်း။ Slopsquatting သည် developer တစ်ဦးက အကြံပြုထားသော install command ကို copy-paste လုပ်ရုံဖြင့် ကန့်သတ်မထားပါ။ ၂၀၂၆ ခုနှစ် ဇန်နဝါရီလတွင် သုတေသီများသည် AI coding agent များသည် repositories ၂၃၇ ခုတွင် hallucinated npm package တစ်ခုကို ရည်ညွှန်းသည့် ညွှန်ကြားချက်များကို ဖြန့်ဝေပြီးဖြစ်ကြောင်း တွေ့ရှိခဲ့ပြီး agent များသည် ၎င်းကို နေ့စဉ် install လုပ်ရန် ကြိုးစားနေဆဲဖြစ်ပြီး အမှားကို ဖမ်းမိရန် လူသားတစ်ဦးတစ်ယောက်မျှ မရှိပါ။
• အမည်တူမှုကို ရှောင်လွှဲခြင်း။ စိတ်ကူးယဉ်ဆန်သောအမည်များ၏ ၃၈% ခန့်သည် အစစ်အမှန် package များနှင့် အလွန်ဆင်တူပြီး developer တစ်ဦးက အစားထိုးမှုကို တစ်ချက်ကြည့်လိုက်ရုံဖြင့် သတိပြုမိနိုင်ခြေကို လျော့နည်းစေသည်။ ယုံကြည်ရသော မှီခိုမှုမှ ဇာတ်ကောင်တစ်ကောင်ကို ချန်ထားခဲ့သော အန္တရာယ်ရှိသော package သည် သံသယဖြစ်ဖွယ်ပုံမပေါ်ပါ။ ၎င်းသည် သင်ကိုယ်တိုင် စာလုံးပေါင်းမှားသကဲ့သို့ ထင်ရသည်။
• တွေ့ရှိပြီးနောက် အဆက်မပြတ်ထိတွေ့မှု။ တရားဝင် ESLint plugin တစ်ခုကို အစားထိုးလိုက်တဲ့ hallucinated package တစ်ခုဟာ registry က လုံခြုံရေးအရ ထိန်းသိမ်းထားပြီးနောက်မှာတောင် အပတ်စဉ် download တွေကို မှတ်တမ်းတင်နေဆဲဖြစ်ပြီး slopsquatted package တစ်ခုကို flag လုပ်ရုံနဲ့ install လုပ်တာကို ချက်ချင်းမတားဆီးနိုင်ဘူးဆိုတာ သက်သေပြနေပါတယ်။

Slopsquatting ပုန်းအောင်းနေတဲ့နေရာ #

slopsquatting ကိုဖမ်းဖို့ အခက်ခဲဆုံးအပိုင်းကတော့ ဖြစ်ပျက်နေချိန်မှာ တိုက်ခိုက်မှုလို့ မပေါ်ပါဘူး။ ပုံမှန် pip install ဒါမှမဟုတ် npm install အောင်မြင်စွာပြီးသွားသလိုပါပဲ၊ ဘာလို့လဲဆိုတော့ attacker တစ်ယောက်က register လုပ်လိုက်တာနဲ့ package ဟာ အမှန်တကယ်ရှိနေလို့ပါပဲ။

Slopsquatting သည် ပုံမှန်အားဖြင့် အောက်ပါတို့မှတစ်ဆင့် ဝင်ရောက်လေ့ရှိသည်-

• AI ကုဒ်ရေးခြင်းလက်ထောက်များနှင့် တွဲဖက်လေယာဉ်မှူးများ။ တရားဝင်အလုပ်လုပ်သော ကုဒ်နှင့်အတူ တင်ပြထားသော တီထွင်ထားသော package name တစ်ခု၏ ကနဦးအကြံပြုချက်သည် အားနည်းချက်စတင်ရာနေရာဖြစ်သည်။ ပတ်ဝန်းကျင်ရှိ ကုဒ်တွင် မည်သည့်အရာမှ မှားယွင်းပုံမပေါ်ပါ၊ အဘယ်ကြောင့်ဆိုသော် ၎င်းသည် ပုံမှန်အားဖြင့် မှားယွင်းခြင်းမရှိပါ။ မှီခိုမှုသာလျှင် အတုအယောင်ဖြစ်သည်။
• ကိုယ်ပိုင်အုပ်ချုပ်ခွင့်ရှိသော ကုဒ်ရေးအေးဂျင့်များ။ လူသားပြန်လည်သုံးသပ်ခြင်းမရှိဘဲ dependencies များကို install လုပ်သည့် Agentic workflows များသည် developer တစ်ဦးက အမည်တစ်ခုကို အတည်ပြုရန် ခေတ္တရပ်တန့်နေသည့် checkpoint တစ်ခုကို ဖယ်ရှားပေးပြီး၊ ၎င်းသည် ပရောဂျက်တစ်ခုသို့ မရောက်မီ hallucinated package တစ်ခုကို ဖမ်းမိစေမည်ဖြစ်သည်။
• အတည်ပြုချက်အဆင့်မပါဘဲ ပက်ကေ့ဂျ်မန်နေဂျာများ။ target package ရှိနေပြီးသားဖြစ်ပြီး အန္တရာယ်ရှိနေချိန်မှာ pip install ဒါမှမဟုတ် npm install နှစ်ခုစလုံးက error မပြပါဘူး။ package manager ရဲ့ ရှုထောင့်ကနေကြည့်ရင် ဘာမှမှားနေတာမရှိတာကြောင့် install လုပ်တာက ပုံမှန်အတိုင်းပြီးသွားပါတယ်။

Slopsquatting ကို ဘယ်လိုရှာဖွေတွေ့ရှိပြီး ကာကွယ်ရမလဲ #

slopsquatting ကို ကာကွယ်ဖို့အတွက် ထူးခြားဆန်းပြားတဲ့ ကိရိယာတွေ မလိုအပ်ပါဘူး။ AI က ကုဒ်ကို “အကြံပြု” လိုက်တာနဲ့ ဖြေလျှော့ပေးမယ့်အစား ရှိပြီးသား dependency hygiene အလေ့အကျင့်တွေကို စနစ်တကျ ကျင့်သုံးဖို့ လိုအပ်ပါတယ်။

မည်သည့် package အသစ်ကိုမဆို ထည့်သွင်းခြင်းမပြုမီ အတည်ပြုပါအထူးသဖြင့် AI လက်ထောက်တစ်ဦးက အကြံပြုထားသော တစ်ခုဖြစ်သည်။ ၎င်းသည် တရားဝင်မှတ်ပုံတင်စာရင်းတွင် ရှိနေကြောင်း၊ မည်သူထိန်းသိမ်းထားကြောင်း၊ ၎င်းကို မည်သည့်အချိန်တွင် ထုတ်ဝေခဲ့ကြောင်းနှင့် ၎င်း၏ဒေါင်းလုဒ်နံပါတ်များသည် အစစ်အမှန်ဖြစ်မဖြစ် အတည်ပြုပါ။

AI မှထုတ်လုပ်သောကုဒ်သည် မူရင်းအားဖြင့် ဘေးကင်းသည်ဟု ဘယ်တော့မှ မယူဆပါနှင့်"အလုပ်လုပ်သည်" ဟူသော ကုဒ်သည် ၎င်း၏ dependencies များသည် တရားဝင်သည်ဟု မဆိုလိုပါ။ Dependency review သည် ကုဒ်ပြန်လည်သုံးသပ်ခြင်း၏ အစိတ်အပိုင်းတစ်ခု ဖြစ်သင့်ပြီး၊ ၎င်း၏ခြွင်းချက်တစ်ခု မဟုတ်ပါ။

သိရှိထားသော CVE များထက်ကျော်လွန်၍ အန္တရာယ်ပုံစံများကို အလံပြသည့် မှီခိုမှုစကင်န်ဖတ်ခြင်းကို ဖြန့်ကျက်ပါ- ပုံမှန်မဟုတ်သော package များ၊ ရှိပြီးသား package များနှင့် သံသယဖြစ်ဖွယ်ဆင်တူသော အမည်များ၊ မှတ်တမ်းမရှိသော ပြုပြင်ထိန်းသိမ်းသူအသစ်များ သို့မဟုတ် ပုံမှန်မဟုတ်သော အပြုအမူရှိသော script များကို ထည့်သွင်းပါ။

AI-SPM ကို အုပ်ချုပ်မှုအလွှာအဖြစ် အသုံးပြုပါ။ AI လုံခြုံရေး အနေအထား စီမံခန့်ခွဲမှုဆိုသည်မှာ AI မှ မိတ်ဆက်ပေးသည့် ဤကဲ့သို့သော အန္တရာယ်မျိုးကို အတိုင်းအတာတစ်ခုအထိ ဖမ်းယူရန်၊ လူသားတစ်ဦးမှ ကိုယ်တိုင်စစ်ဆေးရန် မမှတ်မိမီ AI မှ အကြံပြုထားသော မှီခိုမှုများကို အဆက်မပြတ် ရှာဖွေတွေ့ရှိပြီး အမှတ်ပေးရန်အတွက် ဒီဇိုင်းထုတ်ထားသည့် အလေ့အကျင့်ဖြစ်သည်။

Xygeni ဖြင့် Slopsquatting ကို ကာကွယ်ခြင်း #

Slopsquatting ကို developer တွေရဲ့ သတိရှိမှုတစ်ခုတည်းနဲ့ ကာကွယ်လို့မရပါဘူး။ “AI အကြံပြုထားတဲ့ package တိုင်းကို အတည်ပြုပါ” လို့ ရေးထားတဲ့ မူဝါဒဟာ dependency suggestion တွေ လူသား review လုပ်ငန်းစဉ်တိုင်း မလိုက်မီနိုင်တာထက် ပိုမြန်တဲ့ အဖွဲ့အစည်းတစ်ခုမှာ တိုးချဲ့လုပ်ဆောင်လို့မရပါဘူး။

ဆိုက်ဂျီနီရဲ့ ချဉ်းကပ်မှုသည် ၎င်းကို စဉ်ဆက်မပြတ် ထောက်လှမ်းခြင်းပြဿနာတစ်ခုအဖြစ် သဘောထားသည်- AI စာရင်းနှင့် AI BOM AI မိတ်ဆက်တဲ့ ထုတ်ကုန်တိုင်းကို ဖော်ထုတ်ပါ မှီခိုမှုတစ်လျှောက် SDLCAI လက်ထောက်တစ်ဦးက အမှန်တကယ် အကြံပြုပြီး ထည့်သွင်းခဲ့သည့်အရာ၏ သက်ရှိမှတ်တမ်းကို အဖွဲ့များအား ပေးပါသည်။ Xygeni Shield ကို စွမ်းအားပေးသည် MEW (Malware အစောပိုင်းသတိပေးချက်)လက်မှတ်မရှိမီတွင် slopsquatted package များအပါအဝင် အန္တရာယ်ရှိသော package များကို ရှာဖွေပိတ်ဆို့ပေးပြီး signature-based scanner များ ဖွင့်ထားသည့် ကွက်လပ်အတိအကျကို ပိတ်ပေးသည်။

သင့်အဖွဲ့များသည် AI coding assistant များကို အသုံးပြုနေပါက slopsquatting ပြဿနာသည် ရှိနှင့်ပြီးသားဖြစ်သည်။ မေးခွန်းမှာ နောက်ထပ် hallucinated name ကို install မလုပ်မီ ဖမ်းမိသွားမလားဆိုသည့်အချက်ဖြစ်သည်။

အမြဲမေးလေ့ရှိသောမေးခွန်းများ #