ස්ලොප්ස්කැටින් යනු කුමක්ද?

ස්ලොප්ස්කොටින් යනු කුමක්ද? එය ප්‍රහාරයකි එහිදී ද්වේෂසහගත ක්‍රියාකාරීන් AI කේතීකරණ සහායකයින් මායාවන් ඇති කරන නිශ්චිත පැකේජ නම් ලියාපදිංචි කර, පසුව එම පැකේජ අනිෂ්ට මෘදුකාංග සමඟ පටවා සංවර්ධකයෙකු ඒවා ස්ථාපනය කරන තෙක් බලා සිටී. එය අන්ත නඩුවක් නොවේ. ඉදිරිපත් කරන ලද පර්යේෂණයේදී යූසෙනික්ස් ආරක්ෂාව 2025, කේත සාම්පල 576,000ක් හරහා AI කේතීකරණ ආකෘති විසින් නිර්දේශ කරන ලද පැකේජවලින් 19.7%ක් නොතිබූ අතර, පර්යේෂකයන් පරීක්ෂා කරන ලද ආකෘති හරහා අද්විතීය මායාවන් සහිත නම් 205,000කට වඩා ලොග් කර ඇත.

ස්ලොප්ස්කැටින් යනු කුමක්ද යන්න තේරුම් ගැනීම (සහ ප්‍රායෝගිකව ස්ලොප්ස්කැටින් යන්නෙහි තේරුම කෙබඳුද යන්න) වැදගත් වන්නේ එය හුදෙක් AI විකාරයක් නොවන බැවිනි. ස්ලොප්ස්කැටින් යනු AI යුගයේ අනුප්‍රාප්තිකයා වේ අකුරු වැරදි ලෙස ලිවීම, එක් තීරණාත්මක වෙනසක් සහිතව: typosquatting යනු මිනිසෙකුගේ ටයිප් කිරීමේ වැරැද්ද මත රඳා පවතින අතර, slopsquatting යනු ආකෘතියක වැරැද්ද මත රඳා පවතී, ප්‍රහාරකයෙකුට එය පරිමාණයෙන් ගසාකෑමට පුරෝකථනය කළ හැකි තරම් පුනරාවර්තනය වේ. slopsquatting යනු කුමක්ද, පැකේජ සමාලෝචනයට එය අල්ලා ගත හැකි ප්‍රමාණයට වඩා වේගයෙන් එය පැතිරෙන්නේ ඇයි, එය නිර්මාණය කරන අවදානම් මොනවාද සහ එය නිෂ්පාදනයට ළඟා වීමට පෙර සංවිධානවලට එය සොයාගෙන වළක්වා ගත හැකි ආකාරය මෙම මාර්ගෝපදේශය පැහැදිලි කරයි.

ස්ලොප්ස්කැටිං අර්ථය: අර්ථ දැක්වීම #

විධිමත් ලෙස ස්ලොප්ස්කැටිං අර්ථය: විශාල භාෂා ආකෘතියක් මායාවන් ඇති කරන පැකේජ නාමයක් ලියාපදිංචි කිරීමේ පුරුද්ද, පිළිගත හැකි ලෙස පෙනෙන නමුත් කිසිදු පොදු ලේඛනයක නොපවතින නව නිපැයුම් නාමයක් සහ එය අනිෂ්ට කේත සමඟ පැටවීම. AI හි යෝජනාව මත පදනම්ව සැබෑ සංවර්ධකයෙකු එය ස්ථාපනය කිරීමට පෙර.

මෙම පදය typosquatting සංකල්පය (පොදු වැරදි අක්ෂර වින්‍යාසයක් හරහා සැබෑ එකක් අනුකරණය කරන පැකේජ නාමයක් ලියාපදිංචි කිරීම) උත්පාදක AI හි නිශ්චිත අසාර්ථක මාදිලිය දක්වා ව්‍යාප්ත කරයි. typosquatting මිනිසෙකුගේ typosquatting සූරාකන විට, slopsquatting සූරාකන්නේ AI ආකෘතියේ මායාවන්n: කේතීකරණ සහායකයෙක් කිසිදා නොපවතින පැකේජයක් සඳහා pip ස්ථාපනය හෝ npm ස්ථාපනය නිර්දේශ කරයි, සහ එම නව නිපැයුම් කළ නමම prompts හරහා පුනරාවර්තනය වන බව දුටු ප්‍රහාරකයෙකු එය පළමුව ලියාපදිංචි කරයි.

ප්‍රායෝගිකව ගත් කල, අශෝභන අර්ථය මෙයයි: AI හි යෝජනාව විශ්වාස කිරීමට වඩා මානව දෝෂයක් අවශ්‍ය නොවන, ආකෘතියක වැරැද්ද ක්‍රියාකාරී සූරාකෑමක් බවට පත් කරන සැපයුම් දාම ප්‍රහාරයකි. එය න්‍යායාත්මක නොවේ. 2023 දී හිතකර පරීක්ෂණයක් ලෙස රෝපණය කරන ලද තනි මායාකාරී පැකේජයක්, ශුන්‍ය ප්‍රවර්ධනයකින් මාස තුනක් තුළ බාගත කිරීම් 30,000 කට වඩා ලබා ගත් අතර මෙම නිශ්චිත රටාව ගසාකන ද්වේෂසහගත ප්‍රභේද අද පොදු ලේඛනාගාරවල සජීවීව පවතින බව තහවුරු කළේය.

ස්ලොප්ස්කැටින් vs ටයිපොස්කැටින්: වෙනස කුමක්ද? #

Slopsquatting සහ typosquatting එකම ප්‍රතිඵලය බෙදා ගනී (සංවර්ධකයෙකු එය නීත්‍යානුකූල යැයි විශ්වාස කරමින් ද්වේෂසහගත පැකේජයක් ස්ථාපනය කරයි), නමුත් දෝෂයේ මූලාශ්‍රය වර්ගීකරණයෙන් වෙනස් වේ.

ටයිප් කිරීමේ දෝෂය මිනිස් ටයිප් කිරීමේ වැරැද්දක් මත රඳා පවතී: සංවර්ධකයෙකු ඉල්ලීම් ටයිප් කිරීමට අදහස් කරන අතර ඒ වෙනුවට ඉල්ලීම් ටයිප් කරන අතර, එම වැරදි අක්ෂර වින්‍යාස නාමය ලියාපදිංචි කළ ප්‍රහාරකයෙකු බලා සිටී. අවදානම සංවර්ධකයෙකුගේ යතුරු එබීමකට, එක් මොහොතක නොසැලකිල්ලකට බැඳී ඇත.

Slopsquatting මගින් මානව දෝෂය සම්පූර්ණයෙන්ම ඉවත් කර එය ආකෘතියක දෝෂයකින් ප්‍රතිස්ථාපනය කරයි, එය සමාන විමසුමක් ලැබෙන සෑම සංවර්ධකයෙකු තුළම පරිමාණයෙන් පුනරාවර්තනය වේ. පසු විපරම් විශ්ලේෂණයකින් හෙළි වූයේ පර්යේෂකයන් සමාන විමසීම් දස වතාවක් නැවත ධාවනය කළ විට, මායාවන් සහිත පැකේජ නම් වලින් 43% ක් සෑම ධාවනයකදීම දර්ශනය වූ බවත්, 58% ක් එක් වරකට වඩා පුනරාවර්තනය වූ බවත්ය. එම පුනරාවර්තන හැකියාව ස්ලොප්ස්කොටින් සූරාකෑමට හේතු වේ: ප්‍රහාරකයෙකුට අක්ෂර වින්‍යාස දෝෂයක් අනුමාන කිරීමට අවශ්‍ය නොවේ. ඔවුන්ට අවශ්‍ය වන්නේ ආකෘතියක් පුනරාවර්තනය කරන්නේ කුමන මායාවන් සහිත නමද යන්න නිරීක්ෂණය කර සැබෑ සංවර්ධකයෙකු කිරීමට පෙර එය ලියාපදිංචි කිරීමයි.

විශාලතම වෙනස වන්නේ පරිමාණයයි. යතුරු ලියනය කරන ලද පැකේජයක් යතුරු ලියනය කිරීමේ අනතුරක් සඳහා බලා සිටී. ස්ලොප්ස්කොට් කරන ලද පැකේජයක්, එකම ආකෘතිය භාවිතා කරමින් සෑම සංවිධානයකම ඊළඟ සංවර්ධකයාට සහ ඊට පසු සහ ඊට පසු සංවර්ධකයාට ළඟා වීමට AI-ජනනය කරන ලද නිර්දේශය එනතුරු බලා සිටී.

ස්ලොප්ස්කැටින් පැතිරෙන්නේ ඇයි? #

typosquatting සැමවිටම ඇති එකම හේතුව නිසා Slopsquatting ව්‍යාප්ත වේ: ප්‍රහාරකයින් සංවර්ධකයින් පෙරනිමියෙන් විශ්වාස කරන පුරෝකථනය කළ හැකි රටාවක් ගසාකයි. අලුත් දෙය නම් විශ්වාසයේ පරිමාණයයි.

AI සහාය දක්වන කේතන ක්‍රමයේ නැගීම, ස්වයංක්‍රීය නියෝජිතයන් සහ සංවර්ධකයින් එය ක්‍රියාත්මක කිරීමට පෙර කේතය අඩුවෙන් සමාලෝචනය කරන “කම්පන කේතීකරණ” වැඩ ප්‍රවාහයන්, මෘදුකාංග ප්‍රහාරක මතුපිට සංයුක්ත ආකාර දෙකකින් මාරු කර ඇත:

ප්‍රවේශ ලක්ෂ්‍යය තවදුරටත් සංවර්ධකයා පමණක් නොවේ. අක්ෂර වින්‍යාස ප්‍රහාරයක් රඳා පවතින්නේ එක් පුද්ගලයෙකුගේ යතුරු ලියන වැරැද්ද මත ය. ස්ලොප්ස්කොටින් ආකෘතිය තුළම ආරම්භ වී සමාන ප්‍රශ්න අසන සහ එකම මායාකාරී නිර්දේශය ලබා ගන්නා විවිධ සංවර්ධකයින් සිය ගණනක් වෙත ප්‍රචාරය කළ හැකි අතර, තනි ප්‍රහාරයක ළඟාවීම ගුණ කරයි.

ප්‍රහාරක මතුපිට දාමයේ තවත් ඉහළට ගමන් කර ඇත. මිනිසෙකු ලියන කේතය සමාලෝචනය කිරීම තවදුරටත් ප්‍රමාණවත් නොවේ. AI සහායකයෙකු යෝජනා කරන යැපීම්, එය සම්බන්ධ කරන MCP සේවාදායකයන් සහ සෘජු මානව සමාලෝචනයකින් තොරව ස්වයංක්‍රීයව පැකේජ ස්ථාපනය කරන නියෝජිතයන් පිළිබඳවද කණ්ඩායම් නිරීක්ෂණය කළ යුතුය. සාම්ප්‍රදායික AppSec, ගබඩාවන් සහ මානව සමාලෝචනය සඳහා ගොඩනගා ඇත. commits, සංවර්ධකයා, AI සහ පැකේජ රෙජිස්ට්‍රිය අතර මෙම නව අන්තර්ක්‍රියාව නිරීක්ෂණය කිරීමට කිසි විටෙකත් නිර්මාණය කර නොතිබුණි, එය හරියටම slopsquatting සැඟවී සිටින ස්ථානයයි.

බෑවුම් සහිත වීමේ අවදානම් #

ස්ලොප්ස්කැටිං එකිනෙක සංයුක්ත කරන මානයන් හරහා අවදානමක් ඇති කරන අතර, එම ප්‍රවණතාවය පිටතට යාම වෙනුවට වේගවත් වෙමින් පවතී.

• නැවත නැවත සූරාකෑම. මායාවන් සහිත නම් අහඹු නොවන නිසා, සැසි සහ ආකෘති හරහා එකම ව්‍යාජ නම පුරෝකථනය කළ හැකි ලෙස නැවත මතු වේ. ප්‍රහාරකයින්ට අනුමාන කිරීමට අවශ්‍ය නැත; ඔවුන්ට අවශ්‍ය වන්නේ ආකෘති හැසිරීම නිරීක්ෂණය කර පුනරාවර්තනය වන නම් ලියාපදිංචි කිරීම පමණි, එමඟින් එක් වරක් මායාවන් පරිමාණය කළ හැකි, නැවත නැවත කළ හැකි ප්‍රහාරයක් බවට පත් කරයි.
• කාරක ප්‍රචාරණය. Slopsquatting තවදුරටත් යෝජිත install විධානයක් පිටපත් කර අලවන සංවර්ධකයෙකුට සීමා නොවේ. 2026 ජනවාරි මාසයේදී, පර්යේෂකයන් සොයා ගත්තේ AI කේතීකරණ නියෝජිතයන් දැනටමත් මායාකාරී npm පැකේජයක් යොමු කරන උපදෙස් ගබඩා 237 ක් පුරා පැතිරී ඇති බවයි, නියෝජිතයින් තවමත් එය දිනපතා ස්ථාපනය කිරීමට උත්සාහ කරන අතර, වැරැද්ද අල්ලා ගැනීමට ලූපයේ කිසිදු මිනිසෙකු නොමැත.
• නාම-සමානතා මග හැරීම. මායාවන් සහිත නම් වලින් ආසන්න වශයෙන් 38% ක් සැබෑ පැකේජ වලට සමීපව සමාන වන අතර, සංවර්ධකයෙකු ආදේශනය බැලූ බැල්මට හඳුනා ගැනීමේ සම්භාවිතාව අඩු කරයි. විශ්වාසදායක යැපීමකින් එක් අක්ෂරයක් වෙන් කර තබන ද්වේෂසහගත පැකේජයක් සැක සහිත ලෙස නොපෙනේ; එය ඔබ විසින්ම සාදන ලද අක්ෂර දෝෂයක් ලෙස පෙනේ.
• අනාවරණයෙන් පසු නිරන්තර නිරාවරණය. නීත්‍යානුකූල ESLint ප්ලගිනයක් ප්‍රතිස්ථාපනය කරන ලද මායාකාරී පැකේජයක්, රෙජිස්ට්‍රිය විසින් එය ආරක්ෂක රඳවා තබා ගැනීමකට ලක් කිරීමෙන් පසුව පවා, සතිපතා බාගත කිරීම් පටිගත කරමින් පැවතුනි, ස්ලොප්ස්කොට් පැකේජයක් සලකුණු කිරීමෙන් එය ස්ථාපනය කිරීම වහාම නතර නොවන බවට සාක්ෂි.

ස්ලොප්ස්කැටින් සැඟවී සිටින තැන #

ස්ලොප්ස්කොටින් අල්ලා ගැනීමේ දුෂ්කරම කොටස නම්, එය සිදුවන මොහොතේ ප්‍රහාරයක් ලෙස නොපෙනීමයි; එය සාමාන්‍ය පයිප්ප ස්ථාපනයක් හෝ npm ස්ථාපනයක් සාර්ථකව සම්පූර්ණ වන බව පෙනේ, මන්ද ප්‍රහාරකයෙකු එය ලියාපදිංචි කළ පසු පැකේජය සැබවින්ම පවතින බැවිනි.

ස්ලොප්ස්කැටින් සාමාන්‍යයෙන් ඇතුල් වන්නේ:

• AI කේතීකරණ සහායකයින් සහ සම නියමුවරුන්. මුල් යෝජනාව, නීත්‍යානුකූල, ක්‍රියාකාරී කේතයක් සමඟ ඉදිරිපත් කරන ලද නව නිපැයුම් පැකේජ නාමයක්, අවදානම ආරම්භ වන ස්ථානයයි. අවට කේතය පිළිබඳ කිසිවක් වැරදි ලෙස නොපෙනේ, මන්ද එය සාමාන්‍යයෙන් එසේ නොවේ; යැපීම පමණක් ව්‍යාජ ය.
• ස්වයංක්‍රීය කේතන කාරක. මානව සමාලෝචනයකින් තොරව පරායත්තතා ස්ථාපනය කරන නියෝජිත කාර්ය ප්‍රවාහයන්, නමක් සත්‍යාපනය කිරීමට විරාමයක් තබන එක් මුරපොලක් ඉවත් කරයි, එසේ නොමැතිනම් එය ව්‍යාපෘතියකට ළඟා වීමට පෙර මායාකාරී පැකේජයක් අල්ලා ගනු ඇත.
• සත්‍යාපන පියවරක් නොමැති පැකේජ කළමනාකරුවන්. ඉලක්කගත පැකේජය පවතින විට සහ එය ද්වේෂසහගත වූ විට pip install හෝ npm install දෝෂයක් ඇති නොකරයි. පැකේජ කළමනාකරුගේ දෘෂ්ටිකෝණයෙන්, කිසිවක් වැරදි නොවන බැවින්, ස්ථාපනය සාමාන්‍යයෙන් සම්පූර්ණ වේ.

ස්ලොප්ස්කැටින් සොයා ගන්නේ කෙසේද සහ වළක්වා ගන්නේ කෙසේද? #

ස්ලොප්ස්කොටින් වැළැක්වීම සඳහා විදේශීය මෙවලම් අවශ්‍ය නොවේ. AI කේතය "යෝජනා" කළ මොහොතේම ලිහිල් කිරීමට වඩා, දැනටමත් පවතින යැපුම් සනීපාරක්ෂක පිළිවෙත් ක්‍රමානුකූලව යෙදීමට එය අවශ්‍ය වේ.

ස්ථාපනය කිරීමට පෙර ඕනෑම නව පැකේජයක් සත්‍යාපනය කරන්න., විශේෂයෙන් AI සහායකයෙකු විසින් යෝජනා කරන ලද එකක්. එය නිල ලේඛනයේ පවතින බව, එය නඩත්තු කරන්නේ කවුද, එය ප්‍රකාශයට පත් කළේ කවදාද සහ එහි බාගත කිරීමේ සංඛ්‍යා අව්‍යාජ ලෙස පෙනෙන්නේද යන්න තහවුරු කරන්න.

AI-ජනනය කරන ලද කේතය පෙරනිමියෙන් ආරක්ෂිත යැයි කිසි විටෙකත් උපකල්පනය නොකරන්න.. "ක්‍රියා කරන" කේතය එහි යැපීම් නීත්‍යානුකූල බව අදහස් නොවේ. යැපීම් සමාලෝචනය කේත සමාලෝචනයේ කොටසක් විය යුතුය, එයට ව්‍යතිරේකයක් නොවේ.

දන්නා CVE වලින් ඔබ්බට අවදානම් රටා සලකුණු කරන යැපුම් ස්කෑනිං යොදවන්න: අසාමාන්‍ය පැකේජ, පවතින ඒවාට සැක සහිත ලෙස සමාන නම්, කිසිදු වාර්තාවක් නොමැති නව නඩත්තු කරන්නන්, හෝ අසාමාන්‍ය හැසිරීම් සහිත ස්ක්‍රිප්ට් ස්ථාපනය කරන්න.

පාලන ස්ථරය ලෙස AI-SPM යොදන්න. AI ආරක්ෂක ඉරියව් කළමනාකරණය යනු මෙවැනි AI-හඳුන්වා දුන් අවදානම පරිමාණයෙන් හරියටම අල්ලා ගැනීම සඳහා නිර්මාණය කර ඇති පරිචයයි, AI-යෝජිත පරායත්තතා අඛණ්ඩව සොයා ගැනීම සහ මිනිසෙකු අතින් පරීක්ෂා කිරීමට මතක තබා ගැනීමට පෙර ඒවා ලකුණු කිරීම.

සයිජෙනි සමඟ ස්ලොප්ස්කොටින් වලින් ආරක්ෂා වීම #

සංවර්ධක සුපරීක්ෂාකාරීත්වයෙන් පමණක් ස්ලොප්ස්කැට් වීම වැළැක්විය නොහැක. "සෑම AI-යෝජිත පැකේජයක්ම සත්‍යාපනය කරන්න" යනුවෙන් පවසන ප්‍රතිපත්තියක්, ඕනෑම මානව සමාලෝචන ක්‍රියාවලියකට වඩා වේගයෙන් යැපුම් යෝජනා පැමිණෙන සංවිධානයක් හරහා පරිමාණය නොවේ.

සයිජෙනිගේ ප්‍රවේශය මෙය අඛණ්ඩ හඳුනාගැනීමේ ගැටලුවක් ලෙස සලකයි: AI ඉන්වෙන්ටරි සහ AI BOM සෑම AI-හඳුන්වා දුන් මතුපිටක්ම පුරා යැපීම SDLC, AI සහායකයෙකු සැබවින්ම යෝජනා කර ස්ථාපනය කර ඇති දේ පිළිබඳ ජීවමාන වාර්තාවක් කණ්ඩායම්වලට ලබා දෙයි. Xygeni Shield, බලගන්වන්නේ MEW (අනිෂ්ට මෘදුකාංග පූර්ව අනතුරු ඇඟවීම), අත්සනක් පැවතීමට පෙර, ස්ලොප්ස්කොට් කරන ලද පැකේජ ඇතුළු අනිෂ්ට පැකේජ හඳුනාගෙන අවහිර කරයි, අත්සන මත පදනම් වූ ස්කෑනර් විවෘතව තබන නිශ්චිත පරතරය වසා දමයි.

ඔබේ කණ්ඩායම් AI කේතීකරණ සහායකයින් භාවිතා කරන්නේ නම්, ස්ලොප්ස්ක්වාටින් ගැටළුව දැනටමත් පවතී. ප්‍රශ්නය වන්නේ ඊළඟ මායාකාරී නම ස්ථාපනය කිරීමට පෙර හසු වේද යන්නයි.

නිති අසන පැණ #