Następnym razem, gdy asystent AI zarekomenduje pakiet do zainstalowania, czy sprawdzisz, czy on faktycznie istnieje? Większość programistów tego nie robi. Ta luka między sugestią a weryfikacją to punkt wyjścia ataków slopsquattingowych. W niecałe trzy lata zagrożenie to ewoluowało od dowodu słuszności koncepcji badacza do zdalnego wykonywania kodu w autonomicznych agentach kodujących. Niniejszy artykuł opisuje ewolucję slopsquattingu i znaczenie każdego etapu dla zespołów AppSec i DevSecOps.
Jesteś tu nowy? Zacznij od naszego poradnika Czym jest slopsquatting i jak się przed nim bronić, a następnie wróć, aby zobaczyć oś czasu.
Atak slopsquattingowy w jednym akapicie
Atak polegający na przysiadaniu rejestruje złośliwy pakiet pod nazwą, którą modele sztucznej inteligencji przewidują i wymyślają. Gdzie typosquatting wykorzystuje błędy w pisaniu u ludzi prośby dla wywołańSlopsquatting wykorzystuje sam model, wymyślając wiarygodną nazwę, która nie istnieje w żadnym rejestrze, a następnie atakujący przejmuje tę dokładną nazwę, zanim zrobi to ktokolwiek inny. Termin ten został ukuty przez Setha Larsona, rezydenta ds. bezpieczeństwa w Python Software Foundation, i spopularyzowany przez Andrew Nesbitta. To, co sprawia, że warto śledzić ten wzorzec, to szybkość, z jaką się rozwinął.
Ewolucja slopsquattingu
2023: pierwszy znak ostrzegawczy
Badacz ds. bezpieczeństwa Bar Lanyado zauważył, że wielu absolwentów studiów magisterskich z prawa (LLM) stale zalecało pakiet o nazwie huggingface-cli, który nie istnieje (prawdziwe narzędzie instaluje się z pip install -U “huggingface_hub[cli]”Aby zademonstrować ryzyko, przesłał pusty pakiet pod tą halucynogenną nazwą. W ciągu trzech miesięcy został on pobrany ponad 30 000 razy, bez żadnej promocji, a fałszywa nazwa pojawiła się nawet w pliku README repozytorium powiązanego z badaniami prowadzonymi przez dużą firmę technologiczną. Pakiet był nieszkodliwy. Lekcja była jednak inna: halucynogenna nazwa musi być na tyle spójna, aby ktoś mógł ją wykorzystać jako broń.
2024: od wpisu na blogu do głównego nurtu relacji
W marcu 2024 roku „The Register” doniósł o modelach sztucznej inteligencji, które śmiało wymyślały nazwy pakietów oprogramowania, które następnie pobierali programiści, a niektóre z nich potencjalnie zawierały złośliwe oprogramowanie. Relacja miała mniejsze znaczenie ze względu na to, co ujawniono technicznie, a większe na to, co sygnalizowano: huggingface-cli nie było już jednorazową ciekawostką, lecz pierwszym sygnałem pewnego schematu na tyle poważnego, że prasa zajmująca się technologią zwróciła na to uwagę, jeszcze przed szeroko zakrojonym badaniem, które rok później miało potwierdzić jego zakres.
2025: pierwszy rygorystyczny pomiar
W artykule USENIX Security 2025 „We Have a Package for You!” (Spracklen i in.) przetestowano 16 modeli generowania kodu, komercyjnych i open source, na 576 000 przykładach Pythona i JavaScriptu. Przeniesiono slopsquatting z anegdoty do danych:
- 19.7% rekomendowanych pakietów nie istniało.
- Modele open-source wykazywały halucynacje znacznie częściej (średnio 21.7%) niż modele komercyjne (5.2%).
- Najgorsi przestępcy, CodeLlama 7B i 34B, mieli halucynacje w przypadku ponad jednej trzeciej swoich wyników.
- We wszystkich modelach badacze zarejestrowali ponad 205 000 unikalnych nazw będących halucynacjami, co stanowi zbiór wystarczająco duży, aby zasilić długotrwałe kampanie w różnych ekosystemach.
W badaniu sklasyfikowano również sposób powstawania podróbek: 38% to połączenia łączące dwie prawdziwe nazwy pakietów (dokładnie taki sam wzór, który później wytworzył reaktywna zmiana kodu od jscodeshift oraz React-codemod), 13% to literówki będące wariantami prawdziwych opakowań, a 51% to czyste wymysły, które są prawdopodobne, ale całkowicie zmyślone. Ta pierwsza grupa ma największe znaczenie dla obrony, ponieważ nazwa zszyta z dwóch prawdziwych narzędzi jest najtrudniejsza do rozpoznania na pierwszy rzut oka.
Najważniejszy wniosek dla atakujących: halucynacje nie są losowe i nie zmieniają się przy każdej próbie. Kiedy badacze powtarzali te same podpowiedzi dziesięć razy, 43% halucynowanych nazw pojawiło się za każdym razem, a 58% powtórzyło się więcej niż jeden raz. Atakujący nie musi zgadywać. Obserwuje zachowanie modelu, notuje powtarzające się nazwy i rejestruje je jako pierwszy. Ta powtarzalność sprawia, że jednorazowa halucynacja staje się atakiem skalowalnym.
2026: od odizolowanych pakietów do autonomicznych agentów
W tym roku pojawiły się najwyraźniejsze jak dotąd dowody na to, że slopsquatting nie ogranicza się już do kopiowania i wklejania sugerowanych treści przez programistę. npm zainstalować.
W styczniu 2026 roku badacz ds. bezpieczeństwa Charlie Eriksen odkrył halucynacyjny pakiet npm, reaktywna zmiana kodu, że instrukcje agentów generowane przez sztuczną inteligencję rozprzestrzeniły się już po 237 repozytoriach za pośrednictwem forków, a agenci nadal próbują je codziennie instalować. Pochodzą one z jednego commit plików umiejętności agentów napisanych przez sztuczną inteligencję, których nie przeglądał żaden człowiek. Eriksen zarejestrował tę nazwę samodzielnie, w ramach obrony, zanim atakujący mógł ją wykorzystać jako broń.
Osobno, naprawdę złośliwy pakiet o nazwie niewykorzystane importy, halucynacja zamiast legalnego wtyczka eslint-nieużywane-importy, nadal przyciągał instalacje, nawet po tym, jak npm objął je blokadą bezpieczeństwa, pokazując, jak długo atak typu slopsquatting może znajdować ofiary po tym, jak został oznaczony.
Następnie, w lipcu 2026 roku, naukowcy opisali pokrewną technikę o nazwie „HalluSquatting”, która łączy halucynację z natychmiastowym wstrzyknięciem: agent kodujący AI pobierający wyimaginowany zasób w imieniu użytkownika może zostać przejęty i uruchomić kod dostarczony przez atakującego. To rozszerza ewolucję slopsquattingu z pasywnego ryzyka instalacji do aktywnego wektora zdalnego wykonywania kodu w ramach agentowych przepływów pracy programistycznych.
Dlaczego „kodowanie wibracji” zwiększyło powierzchnię ataku
Slopsquatting nie miałby większego znaczenia, gdyby kod generowany przez sztuczną inteligencję był niszowy. Nie jest. Rozwój asystentów kodowania, autonomicznych agentów i przepływów pracy „vibe coding”, w których programiści przeglądają mniej kodu przed jego uruchomieniem, zmienił powierzchnię ataku na dwa konkretne sposoby.
Po pierwsze, punktem wejścia nie jest już tylko programista. Atak typosquattingowy polegał na błędnym wpisywaniu przez jedną osobę. Teraz błąd ma swoje źródło w modelu i rozprzestrzenia się na setki programistów, którzy zadają podobne pytania i otrzymują te same halucynacje.
Po drugie, powierzchnia ataku przesunęła się w górę łańcucha. Nie wystarczy już obserwować kod pisany przez człowieka. Zespoły muszą obserwować zależności sugerowane przez asystenta AI, serwery MCP, z którymi się łączy, oraz agentów instalujących pakiety bez udziału człowieka. Tradycyjny AppSec, stworzony do przeglądania repozytoriów i działań człowieka. commits, nigdy nie został zaprojektowany z myślą o obserwowaniu interakcji między programistą, sztuczną inteligencją i rejestrem, za czym właśnie kryje się obecnie slopsquatting.
Co to oznacza dla profilaktyki
Nic z tego nie sprawia, że generatywna sztuczna inteligencja jest z natury niebezpieczna. Wprowadza ona ryzyko w łańcuchu dostaw, którego tradycyjne narzędzia nie były w stanie wykryć, i wymaga stosowania zasad weryfikacji, które stosujemy już do wszelkich zależności zewnętrznych: nie ufaj domyślnie, weryfikuj źródło i automatyzuj weryfikację zamiast polegać na pamięci każdego programisty. Pełny podręcznik defensywny znajduje się w naszym przewodniku. Bezpieczeństwo łańcucha dostaw AIale w skrócie chodzi o to, że ręczna weryfikacja, choć nadal konieczna, przestaje być skuteczna w momencie, gdy wymyślona nazwa może dotrzeć do tysięcy programistów naraz, lub gdy agent może ją zainstalować bez żadnego przeglądu przez człowieka.
Zatrzymaj pakiety halucynogenne zanim agent je zainstaluje
Przypadki z 2026 roku mają jedną wspólną cechę: niebezpieczna instalacja odbywa się bez udziału człowieka. To właśnie ta luka Xygeni Shield jest stworzony dla. Shield jest lekkim agentem na punkcie końcowym programisty, który blokuje złośliwe pakiety w czasie instalacji, używając Wczesne ostrzeganie przed złośliwym oprogramowaniem (MEW) werdykty, które działają, zanim pojawi się jakikolwiek podpis. Kiedy asystent AI lub autonomiczny agent próbuje zainstalować wyimaginowany, świeżo zarejestrowany pakiet, Shield Ocenia go w trakcie pobierania i blokuje, więc skrypt instalacyjny nigdy się nie uruchamia, niezależnie od tego, czy ktoś go obserwował. Każdy blok przechodzi do tego samego Xygeni konsola jako kod, kompilacja i ustalenia dotyczące środowiska wykonawczego, Shield działa równolegle z istniejącym EDR, a nie w konflikcie z nim.
Zacznij za darmo. Plan deweloperski Xygeni kosztuje 0 €: 10 repozytoriów, 200 skanów miesięcznie, do 5 współpracowników, bez konieczności podawania numeru karty kredytowej. Sign up with GitHub, GitLab lub Google i uruchom pierwsze skanowanie w mniej niż 10 minut; Shield Ochrona punktów końcowych wkrótce będzie dostępna w planie dla deweloperów.
FAQ
Czy menedżer pakietów może samodzielnie zapobiec slopsquattingowi?
Nie do końca. Wykrywanie kolizji w npm blokuje nazwy zbyt podobne do istniejących pakietów, co pomaga w zapobieganiu typosquattingowi, ale nazwa halucynowana to zupełnie nowy ciąg znaków, który nie wymaga wykrycia kolizji. Jeśli atakujący zarejestruje pakiet halucynowany przed zainstalowaniem go przez programistę, instalacja zakończy się bezbłędnie, ponieważ pakiet rzeczywiście istnieje. Zapobieganie wymaga weryfikacji pochodzenia i zachowania pakietu, a nie tylko kontroli rejestru.
Czym sprawy agentów z 2026 r. różnią się od wcześniejszych przypadków slopsquattingu?
Wcześniejsze incydenty polegały na kopiowaniu i wklejaniu sugerowanego polecenia instalacji przez człowieka. W 2026 przypadkach autonomiczni agenci instalowali lub próbowali instalować pakiety halucynogenne bez ingerencji człowieka, a technika HalluSquatting poszła o krok dalej, łącząc halucynację z natychmiastowym wstrzyknięciem, aby umożliwić zdalne wykonanie kodu w ramach przepływu pracy agenta.
