I 2023 utførte en sikkerhetsforsker ved navn Bar Lanyado et stille eksperiment. Han la merke til at AI-kodingsassistenter stadig anbefalte en Python-pakke kalt klemmeansikt-kli, en pakke som ikke eksisterte. Så han opprettet den: en tom plassholder, lastet opp under det nøyaktige navnet modellene oppfant. Han la ikke til noen funksjonalitet og ingen nyttelast. Han bare ventet.
Innen tre måneder hadde pakken blitt lastet ned mer enn 30 000 ganger. Den hallusinerte installasjonskommandoen hadde til og med funnet veien til et offentlig arkiv, README, som tilhørte et stort teknologiselskap. Lanyados pakke var ufarlig. Men eksperimentet beviste noe urovekkende: en angriper kan forutsi hva en AI vil finne opp, registrere det først og la utviklere installere det selv. Den teknikken har nå et navn, hukebukk, og det er en av de raskest voksende truslene i programvareforsyningskjeden.
Hva er slopsquatting?
Slopsquatting er et angrep i forsyningskjeden der en angriper registrerer en skadelig programvarepakke under et navn som AI-kodingsassistenter forutsigbart hallusinerer. Når en utvikler ber et AI-verktøy om hjelp, og det foreslår å installere en plausibel, men ikke-eksisterende avhengighet, har angriperen allerede gjort krav på navnet i det offentlige registeret, så forslaget om «nyttig» installerer skadelig programvare i stedet for ingenting.
Begrepet var laget i april 2025 av Seth Larson, sikkerhetsutvikler ved Python Software Foundation. Det er et spill på Typosquatting, det eldre angrepet der kriminelle registrerer feilstavinger i populære pakker (forespørsler istedenfor forespørsler). Forskjellen er kilden til feilen: typosquatting utnytter menneskelige skrivefeil, mens slopsquatting utnytter AI-«slop»: den selvsikre, flytende, feilaktige utdataene som store språkmodeller produserer.
Hvorfor slopsquatting faktisk fungerer
Du kan anta at AI-hallusinasjoner er tilfeldig støy: et nytt falskt navn hver gang, umulig å bruke som våpen. Forskningen sier noe annet, og det er hele poenget.
En fagfellevurdert studie presentert på USENIX Security 2025 (Spracklen et al.) testet 16 store språkmodeller på tvers av 576 000 genererte kodeeksempler. Den fant at 19.7 % av anbefalte pakker ikke eksisterte: totalt 205 474 unike hallusinerte navn. Avgjørende nok var at disse hallusinasjonene var repeterbar43 % av falske navn dukket opp igjen ved gjentatte spørsmål, og 58 % dukket opp igjen ved ti kjøringer av samme spørring. Åpen kildekode-modeller hallusinerte pakker i 21.7 % av tilfellene; selv kommersielle modeller som GPT-4 gjorde det i 5.2 % av tilfellene: én av tjue.
Det er repeterbarhet som gjør en særegenhet om til et angrep. En angriper trenger ikke å gjette. De kan kjøre populære forespørsler, registrere hvilke ikke-eksisterende pakker modellene stadig foreslår, og registrere disse navnene som skadelig programvare. AI-en gjør målrettingen for dem.
Hvordan et slopquatting-angrep utfolder seg
Angrepskjeden er kort, noe som er en del av grunnen til at den er farlig:
- Observere. Angriperen ber AI-kodingsassistenter om vanlige utviklingsoppgaver og logger pakkenavnene disse verktøyene finner opp, men som ikke finnes i registeret.
- Registrere. De publiserer en ondsinnet pakke under et av disse hallusinerte navnene, med en ren README-fil, troverdige metadata og en nyttelast skjult i et installasjonsskript.
- Vente. En utvikler (eller en autonom kodeagent) stiller et lignende spørsmål til et AI-verktøy, mottar den samme hallusinerte anbefalingen og kjører installere.
- Henrette. Pakkens installasjonshook utløses, eksfiltrerer hemmeligheter, åpner et omvendt skall eller planter en bakdør, og kompromisset flyter nedstrøms i bygg og produksjon.
Autonome kodeagenter gjør trinn 3 mye mer sannsynlig. En agent som installerer avhengigheter uten menneskelig gjennomgang fjerner det ene kontrollpunktet der en utvikler kanskje har stoppet opp og tenkt: «Jeg har aldri hørt om den pakken.»
Hvor ille er det egentlig?
Verre, ikke bedre. USENIX-studien testet 16 modeller og fant fortsatt at nesten én av fem anbefalte pakker ikke eksisterte, så dette er ikke et problem som er begrenset til eldre eller svakere verktøy. Og en kodeassistent som jobber kun med treningsdata, har ingen måte å vite om pakkenavnet den nettopp foreslo er trygt, hallusinert eller allerede flagget som skadelig programvare: den har ingen sanntidsvisning av registeret. Det er ikke en kuriositet i laboratoriet. Det er den nøyaktige oppførselen utviklere nå stoler på dusinvis av ganger om dagen.
Slopsquatting skaleres også med den bredere kollapsen i forsyningskjedehygienen. I 2025 ble store mengder ondsinnede pakkekampanjer den grunnleggende driftsmodellen for angrep i forsyningskjeden, slik Xygenis New AppSec Attack Trends for 2026 dokumenterer: angripere publiserer i store mengder, aksepterer raske nedtakelser og er avhengige av sannsynlighet, og AI-hallusinasjoner gir dem en jevn tilførsel av navn med høy konvertering for å registrere dem.
Hvordan forsvare seg mot slopsquatting
Den ubehagelige sannheten er at signaturbaserte verktøy ikke kan fange opp dette. En slopsquatt-pakke er helt ny; ingen CVE finnes, ingen signatur finnes, og den kan være aktiv i bare timer før den tas ned, lenge nok til å samle tusenvis av installasjoner. Effektivt forsvar hviler på fire fremgangsmåter:
- Installer aldri en pakke foreslått av en AI uten å bekrefte at den eksisterer og er legitim. Sjekk den virkelige nedlastingshistorikken, vedlikeholderen og depotet, ikke bare at navnet høres riktig ut.
- Oppdag skadelig programvare etter oppførsel, ikke signaturer. Poeng en pakke ved publiseringstidspunktet basert på installasjonshandlinger, nettverkskall og obfuskasjonsmønstre, så en skadelig pakke blir flagget i det øyeblikket den dukker opp, i stedet for etter at den allerede er kjent.
- Sett en avhengighetsbrannmur mellom utviklere og registeret. Sett mistenkelige eller helt nye pakker automatisk i karantene før de når en versjon, i stedet for å stole på det offentlige registeret som standard.
- Lag en oversikt over hvilken AI som kjører i din pipeline. Kodeassistenter og autonome agenter som installerer avhengigheter er en del av angrepsflaten din. AI-stykkliste (AI-BOM) gjør det synlig.
Slopsquatting er et symptom på et større skifte
Slopsquatting er det skarpeste eksemplet på et bredere mønster: AI er nå både det som skriver koden din og det angriperne peker på i forsyningskjeden din. Å forsvare seg mot det isolert sett er ikke nok; det hører hjemme i en bredere strategi. For hele bildet, se vår guide til AI-forsyningskjedesikkerhet, som dekker skadelige pakker, MCP-risikoer, og AI-generert kode sammen med forsvaret som adresserer dem.
Slutt å slopquatte før det når bygget ditt
Det mest effektive stedet å stoppe en pakke som er blitt ødelagt er i det øyeblikket en utvikler prøver å installere den, før installasjonsskriptet i det hele tatt kjører. Det er det Xygeni Shield gjør. Shield er en lettvektsagent på utviklerens endepunkt som blokkerer skadelige pakker ved installasjonstidspunktet, ved hjelp av Tidlig varsling om skadelig programvare (MEW) dommer som fungerer før noen signatur finnes. Når en AI-assistent foreslår en hallusinert avhengighet og utvikleren kjører installere, Shield evaluerer pakken når den hentes og blokkerer den: det skadelige skriptet etter installasjon kjøres aldri, og sikkerhetsteamet ser forsøket med full kontekst.
Fordi MEW scorer en pakkes oppførsel i det øyeblikket den publiseres (handlinger under installasjon, nettverkskall, obfuskasjonsmønstre), Shield fanger opp akkurat de splitter nye pakkene uten signatur ennå som slopsquatting er avhengig av, sammen med typosquatting, avhengighetsforvirring og kompromiss mellom vedlikeholdere. Hver blokk flyter inn i den samme Xygeni-konsollen som koden, byggingen og kjøretidsfunnene dine, så det er ingen nye dashboard og ingen nye leverandørforhold, og Shield kjører ved siden av din eksisterende EDR, ikke mot den.
Start gratis. Xygenis utviklerplan koster €0: 10 arkiver, 200 skanninger i måneden, opptil 5 bidragsytere, ingen kredittkort. Sign up with GitHub, GitLab eller Google, og kjør din første skanning på under 10 minutter; Shield Endepunktbeskyttelse kommer snart til utviklerabonnementet.
FAQ
Er slopsquatting en reell trussel eller bare teoretisk?
Det er ekte. Et konseptbevis fra 2023 utført av forskeren Bar Lanyado viste en midlertidig pakke under et hallusinert navn (klemmeansikt-kli) lastet ned mer enn 30 000 ganger på tre måneder. En USENIX Security 2025-studie fant at 19.7 % av pakkene som anbefales av AI ikke finnes, og 43 % av disse hallusinerte navnene gjentas på tvers av ledetekster, noe som betyr at angripere kan forutsi og registrere dem.
Hva er forskjellen mellom slopsquatting og typosquatting?
Typosquatting utnytter menneskelige skrivefeil ved å registrere stavefeil i populære pakker (forespørsler forum forespørslerSlopsquatting utnytter AI-hallusinasjoner ved å registrere de selvsikre, men feilaktige pakkenavnene som store språkmodeller finner opp. Begge har som mål å lure en utvikler til å installere en ondsinnet pakke, men feilen de bruker som våpen er annerledes.
Kan jeg stole på at AI-kodingsassistenter foreslår avhengigheter?
Ikke uten verifisering. Selv ledende kommersielle modeller hallusinerer pakker som ikke eksisterer omtrent 5 % av tiden, og nyere analyser fant at nesten 28 % av forslagene til avhengighetsoppgraderinger fra en nåværende modell var hallusinerte. Bekreft alltid at en foreslått pakke faktisk eksisterer og er legitim før du installerer den.
Hvordan beskytter jeg kodebasen min mot slopsquatting?
Bekreft AI-foreslåtte pakker før installasjon, oppdag skadelig programvare basert på atferd ved publisering i stedet for å vente på en signatur, plasser en avhengighetsbrannmur mellom utviklere og offentlige registre, og vedlikehold en AI-BOM-inventar over AI-verktøyene og -agentene som kjører i din pipeline.
