W 2023 roku badacz bezpieczeństwa Bar Lanyado przeprowadził cichy eksperyment. Zauważył, że asystenci kodowania AI stale rekomendowali pakiet Pythona o nazwie huggingface-cli, pakiet, który nie istniał. Więc go stworzył: pusty symbol zastępczy, przesłany pod dokładną nazwą wymyśloną przez modele. Nie dodał żadnej funkcjonalności ani ładunku. Po prostu czekał.
W ciągu trzech miesięcy pakiet został pobrany ponad 30 000 razy. Wymyślone polecenie instalacji trafiło nawet do publicznego repozytorium README należącego do dużej firmy technologicznej. Pakiet Lanyado był nieszkodliwy. Eksperyment jednak dowiódł czegoś niepokojącego: atakujący potrafi przewidzieć, co wynalazła sztuczna inteligencja, zarejestrować to jako pierwszy i pozwolić programistom na samodzielną instalację. Ta technika ma teraz nazwę: przysiadyi jest to jedno z najszybciej rozwijających się zagrożeń w łańcuchu dostaw oprogramowania.
Czym jest slopsquatting?
Slopsquatting to atak na łańcuch dostaw w którym atakujący rejestruje pakiet złośliwego oprogramowania pod nazwą, którą asystenci programistów sztucznej inteligencji (AI) mogą przewidzieć i wymyślić. Gdy programista zwraca się o pomoc do narzędzia AI, a ono sugeruje zainstalowanie wiarygodnie brzmiącej, ale nieistniejącej zależności, atakujący już zajął tę nazwę w rejestrze publicznym, więc „pomocna” sugestia zamiast niczego nie instaluje złośliwego oprogramowania.
Termin był wymyślone w kwietniu 2025 r. przez Setha Larsona, rezydent ds. bezpieczeństwa w Python Software Foundation. To gra słów typosquatting, starszy atak, w którym przestępcy rejestrują błędne zapisy popularnych pakietów (prośby zamiast wywołańRóżnica leży w źródle błędu: typosquatting wykorzystuje ludzkie literówki, podczas gdy slopsquatting wykorzystuje „błąd” sztucznej inteligencji: pewny, płynny, ale błędny wynik generowany przez duże modele językowe.
Dlaczego slopsquatting naprawdę działa
Można by pomyśleć, że halucynacje sztucznej inteligencji to losowy szum: za każdym razem inna fałszywa nazwa, której nie da się uzbroić. Badania mówią co innego i o to właśnie chodzi.
Recenzowane badanie zaprezentowane na USENIX Security 2025 (Spracklen i in.) Przetestowano 16 dużych modeli językowych na 576 000 wygenerowanych próbkach kodu. Stwierdzono, że 19.7% rekomendowanych pakietów nie istniało: łącznie 205 474 unikalne nazwy halucynacyjne. Co istotne, te halucynacje były… powtarzalne:43% fałszywych nazw pojawiło się ponownie w wielokrotnych zapytaniach, a 58% powtórzyło się w dziesięciu uruchomieniach tego samego zapytania. Modele open source generowały halucynacje pakietów w 21.7% przypadków; nawet modele komercyjne, takie jak GPT-4, robiły to w 5.2% przypadków: raz na dwadzieścia.
Powtarzalność to coś, co zmienia dziwactwo w atak. Atakujący nie musi zgadywać. Może uruchamiać popularne komunikaty, rejestrować nieistniejące pakiety sugerowane przez modele i rejestrować te nazwy jako złośliwe oprogramowanie. Sztuczna inteligencja zajmuje się namierzaniem za niego.
Jak przebiega atak slopsquattingowy
Łańcuch ataku jest krótki, co częściowo wyjaśnia, dlaczego jest niebezpieczny:
- Przestrzegać. Atakujący zleca asystentom kodowania AI typowe zadania programistyczne i rejestruje nazwy pakietów wymyślone przez te narzędzia, które jednak nie istnieją w rejestrze.
- Zarejestrować. Publikują złośliwy pakiet pod jedną z tych halucynogennych nazw, z czystym plikiem README, wiarygodnymi metadanymi i ładunkiem ukrytym w skrypcie instalacyjnym.
- Czekać. Programista (lub autonomiczny agent kodujący) zadaje podobne pytanie narzędziu AI, otrzymuje tę samą halucynogenną rekomendację i uruchamia zainstalować.
- Wykonany. Pakiet uruchamia hak instalacyjny, ujawniając sekrety, otwierając odwróconą powłokę lub umieszczając tylne drzwi, a naruszenie bezpieczeństwa przenika do kompilacji i produkcji.
Autonomiczne agenty kodujące znacznie zwiększają prawdopodobieństwo wykonania kroku 3. Agent instalujący zależności bez weryfikacji przez człowieka usuwa punkt kontrolny, w którym programista mógłby się zatrzymać i pomyśleć: „Nigdy nie słyszałem o tym pakiecie”.
Jak źle jest naprawdę?
Coraz gorzej, a nie lepiej. Badanie USENIX objęło 16 modeli i nadal wykazało, że prawie jeden na pięć rekomendowanych pakietów nie istnieje, więc problem ten nie ogranicza się do starszych lub słabszych narzędzi. Asystent programisty pracujący wyłącznie na danych szkoleniowych nie ma możliwości sprawdzenia, czy nazwa pakietu, którą właśnie zasugerował, jest bezpieczna, urojona, czy już oznaczona jako złośliwe oprogramowanie: nie ma wglądu w rejestr w czasie rzeczywistym. To nie jest ciekawostka laboratoryjna. To dokładnie to samo zachowanie, na które programiści polegają teraz dziesiątki razy dziennie.
Slopsquatting rośnie również wraz z ogólnym załamaniem higieny łańcucha dostaw. W 2025 roku masowe kampanie z wykorzystaniem złośliwych pakietów stały się podstawowym modelem operacyjnym ataków na łańcuchy dostaw, jak wynika z raportu Xygeni New AppSec Attack Trends for 2026: atakujący publikują masowo, akceptują szybkie likwidacje i polegają na prawdopodobieństwie, a halucynacje sztucznej inteligencji zapewniają im stały dopływ nazw o wysokiej konwersji do rejestracji.
Jak bronić się przed slopsquattingiem
Niewygodna prawda jest taka, że narzędzia oparte na sygnaturach nie potrafią tego wykryć. Pakiet slopsquatted jest zupełnie nowy; nie istnieje żaden CVE, nie istnieje żaden podpis i może być aktywny zaledwie kilka godzin przed usunięciem, wystarczająco długo, aby zgromadzić tysiące instalacji. Skuteczna obrona opiera się na czterech praktykach:
- Nigdy nie instaluj pakietu sugerowanego przez sztuczną inteligencję bez sprawdzenia, czy on istnieje i jest legalny. Sprawdź prawdziwą historię pobierania, administratora i repozytorium, a nie tylko to, czy nazwa brzmi poprawnie.
- Wykrywaj złośliwe oprogramowanie na podstawie zachowania, a nie sygnatur. Oceń pakiet w momencie publikacji na podstawie jego działań w czasie instalacji, wywołań sieciowych i wzorce zaciemniania, dzięki czemu złośliwy pakiet jest oznaczany w chwili pojawienia się, a nie dopiero wtedy, gdy jest już znany.
- Utwórz zaporę zależności między programistami a rejestrem. Automatycznie poddawaj kwarantannie podejrzane lub zupełnie nowe pakiety przed ich kompilacją, zamiast domyślnie ufać publicznemu rejestrowi.
- Zbadaj, co sztuczna inteligencja uruchamia w Twoim systemie pipeline. Asystenci kodowania i autonomiczni agenci instalujący zależności są częścią Twojej powierzchni ataku. Wykaz materiałów AI (AI-BOM) sprawia, że jest to widoczne.
Slopsquatting to jeden z objawów większej zmiany
Slopsquatting to najostrzejszy przykład szerszego wzorca: sztuczna inteligencja jest teraz zarówno tym, kto pisze Twój kod, jak i tym, na co wskazują atakujący w Twoim łańcuchu dostaw. Obrona przed nią w izolacji nie wystarczy; należy ona do szerszej strategii. Aby uzyskać pełny obraz, zapoznaj się z naszym poradnikiem. Bezpieczeństwo łańcucha dostaw AI, który obejmuje złośliwe pakiety, Ryzyko MCPoraz kod generowany przez sztuczną inteligencję wraz z mechanizmami obronnymi, które im przeciwdziałają.
Przestań robić przysiady zanim dotrą do Twojej sylwetki
Najskuteczniejszym sposobem na zatrzymanie pakietu slopsquatowanego jest moment, w którym deweloper próbuje go zainstalować, zanim skrypt instalacyjny w ogóle się uruchomi. To właśnie Xygeni Shield robi. Shield jest lekkim agentem na punkcie końcowym programisty, który blokuje złośliwe pakiety w czasie instalacji, używając Wczesne ostrzeganie przed złośliwym oprogramowaniem (MEW) werdykty, które działają, zanim pojawi się jakikolwiek podpis. Kiedy asystent AI sugeruje halucynowaną zależność, a programista uruchamia zainstalować, Shield ocenia pakiet w momencie jego pobrania i blokuje go: złośliwy skrypt poinstalacyjny nigdy się nie uruchamia, a zespół ds. bezpieczeństwa widzi próbę w pełnym kontekście.
Ponieważ MEW ocenia zachowanie pakietu w momencie jego opublikowania (działania w czasie instalacji, wywołania sieciowe, wzorce zaciemniania), Shield Wychwytuje dokładnie te zupełnie nowe pakiety, które nie mają jeszcze podpisu, od których zależy slopsquatting, a także typosquatting, pomyłki w zależnościach i kompromisy w kwestii utrzymania. Każdy blok trafia do tej samej konsoli Xygeni, co kod, kompilacja i wyniki środowiska uruchomieniowego, więc nie ma żadnych nowych… dashboard i żadnej nowej relacji z dostawcą, Shield działa równolegle z istniejącym EDR, a nie w konflikcie z nim.
Zacznij za darmo. Plan deweloperski Xygeni kosztuje 0 €: 10 repozytoriów, 200 skanów miesięcznie, do 5 współpracowników, bez konieczności podawania numeru karty kredytowej. Sign up with GitHub, GitLab lub Google i uruchom pierwsze skanowanie w mniej niż 10 minut; Shield Ochrona punktów końcowych wkrótce będzie dostępna w planie dla deweloperów.
FAQ
Czy slopsquatting jest realnym zagrożeniem czy tylko teoretycznym?
To prawda. W 2023 roku badacz Bar Lanyado przeprowadził dowód koncepcyjny, w którym zaprezentowano pakiet zastępczy pod halucynowaną nazwą (huggingface-cli) pobrano ponad 30 000 razy w ciągu trzech miesięcy. Badanie USENIX Security 2025 wykazało, że 19.7% pakietów rekomendowanych przez sztuczną inteligencję nie istnieje, a 43% tych wymyślonych nazw powtarza się w komunikatach, co oznacza, że atakujący mogą je przewidzieć i zarejestrować.
Jaka jest różnica między slopsquattingiem a typosquattingiem?
Typosquatting wykorzystuje ludzkie literówki poprzez rejestrowanie błędów ortograficznych popularnych pakietów (prośby dla wywołań). Slopsquatting wykorzystuje halucynacje sztucznej inteligencji, rejestrując pewne, ale błędne nazwy pakietów wymyślane przez duże modele językowe. Oba mają na celu nakłonienie programisty do zainstalowania złośliwego pakietu, ale błąd, który wykorzystują, jest inny.
Czy mogę zaufać, że asystenci kodowania AI sugerują zależności?
Nie bez weryfikacji. Nawet wiodące modele komercyjne w około 5% przypadków fantazjują o pakietach, które nie istnieją, a nowsze analizy wykazały, że prawie 28% sugestii aktualizacji zależności z obecnego modelu było fantazją. Zawsze upewnij się, że sugerowany pakiet rzeczywiście istnieje i jest legalny przed jego zainstalowaniem.
Jak mogę chronić swoją bazę kodu przed slopsquattingiem?
Sprawdź pakiety sugerowane przez sztuczną inteligencję przed instalacją, wykrywaj złośliwe oprogramowanie na podstawie zachowania w momencie publikacji, zamiast czekać na podpis, umieść zaporę zależności między programistami a rejestrami publicznymi i utrzymuj inwentaryzację AI-BOM narzędzi i agentów AI działających w Twoim systemie. pipeline.
