Sa susunod na magrekomenda ang isang AI assistant ng package na i-install, susuriin mo ba kung talagang umiiral ito? Karamihan sa mga developer ay hindi. Ang agwat sa pagitan ng mungkahi at beripikasyon ang siyang nagsisimula ng mga slopsquatting attack, at sa loob ng wala pang tatlong taon, ang banta ay umunlad mula sa patunay ng konsepto ng isang mananaliksik patungo sa remote code execution sa loob ng mga autonomous coding agents. Sinusubaybayan ng artikulong ito ang ebolusyon ng slopsquatting at kung ano ang ibig sabihin ng bawat yugto para sa mga koponan ng AppSec at DevSecOps.
Bago ka rito? Simulan mo sa ating panimulang aklat Ano ang slopsquatting at paano ito ipagtatanggol, pagkatapos ay bumalik para sa timeline.
Isang slopsquatting attack sa isang talata
Isang slopsquatting na pag-atake nagrerehistro ng isang malisyosong pakete sa ilalim ng isang pangalan na maaaring mahulaan na ginagawa ng AI model. Kung saan ang typosquatting ay nagsasamantala sa maling pagta-type ng tao mga kahilingan para kahilingan, sinasamantala ng slopsquatting ang mismong modelo sa pamamagitan ng pag-imbento ng isang kapani-paniwalang pangalan na hindi umiiral sa anumang registry, pagkatapos ay inaangkin ng isang umaatake ang eksaktong pangalang iyon bago pa man makuha ng sinumang lehitimong tao. Ang terminong ito ay nilikha ni Seth Larson, Security Developer-in-Residence sa Python Software Foundation, at pinasikat ni Andrew Nesbitt. Ang dahilan kung bakit sulit subaybayan ang pattern ay kung gaano ito kabilis na naghinog.
Ebolusyon ng slopsquatting
2023: ang unang babala
Napansin ng mananaliksik sa seguridad na si Bar Lanyado na maraming LLM ang patuloy na nagrerekomenda ng isang pakete na tinatawag na huggingface-cli, na hindi umiiral (ang tunay na tool ay ini-install gamit ang pip install -U “huggingface_hub[cli]”). Upang ipakita ang panganib, nag-upload siya ng isang walang laman na pakete sa ilalim ng pangalang iyon na parang guni-guni. Sa loob ng tatlong buwan, mahigit 30,000 beses na itong na-download, nang walang anumang promosyon, at ang pekeng pangalan ay lumabas pa sa README ng isang repository na may kaugnayan sa pananaliksik mula sa isang malaking kumpanya ng teknolohiya. Hindi nakakapinsala ang pakete. Ang aral ay hindi: ang isang pangalang parang guni-guni ay kailangan lamang maging pare-pareho nang sapat para magamit ito ng isang tao bilang armas.
2024: mula sa blog post hanggang sa mainstream na saklaw
Noong Marso 2024, iniulat ng The Register ang tungkol sa mga modelo ng AI na may kumpiyansang nag-imbento ng mga pangalan ng software package na dina-download ng mga developer noon, ang ilan ay posibleng nalason ng malware. Ang saklaw ay hindi gaanong mahalaga para sa teknikal na isiniwalat nito kaysa sa ipinahiwatig nito: huggingface-cli ay hindi na isang minsanang pag-uusisa kundi ang unang senyales ng isang padron na sapat na kaseryoso para ipagdiinan ng mainstream tech press, bago ang malawakang pag-aaral na magkukumpirma sa saklaw nito pagkalipas ng isang taon.
2025: ang unang mahigpit na pagsukat
Ang papel ng USENIX Security 2025 na “Mayroon Kaming Pakete para sa Iyo!” (Spracklen et al.) ay sumubok ng 16 na modelo ng pagbuo ng code, komersyal at open source, sa 576,000 sample ng Python at JavaScript. Inilipat nito ang slopsquatting mula sa anekdota patungo sa datos:
- 19.7% ng mga inirerekomendang pakete ay wala.
- Mas madalas na naghalusinasyon ang mga open-source na modelo (21.7% sa karaniwan) kaysa sa mga komersyal (5.2%).
- Ang pinakamalalang nagkasala, ang CodeLlama 7B at 34B, ay naghalusinasyon sa mahigit isang-katlo ng kanilang mga output.
- Sa lahat ng modelo, nakapagtala ang mga mananaliksik ng mahigit 205,000 natatanging mga pangalan na dulot ng halusinasyon, isang sapat na laki ng pool upang pasiglahin ang mga patuloy na kampanya sa iba't ibang ecosystem.
Ikinategorya rin ng pag-aaral kung paano nabubuo ang mga pekeng pangalan: 38% ay mga conflation na nagsasama ng dalawang tunay na pangalan ng pakete (eksakto ang pattern na kalaunan ay nabuo react-codeshift mula jscodeshift at react-codemod), 13% ay mga typo-style na variant ng mga totoong pakete, at 51% ay purong kathang-isip na kapani-paniwala ngunit ganap na inimbento. Ang unang grupong iyon ang pinakamahalaga para sa depensa, dahil ang isang pangalang pinagsama-sama mula sa dalawang totoong kagamitan ang pinakamahirap makita sa isang sulyap.
Ang pinakamahalagang natuklasan para sa mga umaatake: ang mga halusinasyon ay hindi basta-basta at hindi nagbabago sa bawat pagtatangka. Nang muling patakbuhin ng mga mananaliksik ang magkaparehong mga prompt nang sampung beses bawat isa, 43% ng mga pangalang may halusinasyon ang lumitaw sa bawat pagtakbo at 58% ang umuulit nang higit sa isang beses. Hindi kailangang manghula ang isang umaatake. Inoobserbahan nila ang kilos ng modelo, tinatandaan ang mga pangalang paulit-ulit, at unang nirerehistro ang mga ito. Ang pag-uulit na iyon ang siyang nagpapabago sa isang minsanang halusinasyon tungo sa isang nasusukat na pag-atake.
2026: mula sa mga nakahiwalay na pakete patungo sa mga nagsasariling ahente
Ngayong taon, naipakita ang pinakamalinaw na ebidensya na ang slopsquatting ay hindi na limitado sa pagkopya at pag-paste ng isang developer ng iminungkahing... install npm.
Noong Enero 2026, natuklasan ng security researcher na si Charlie Eriksen ang isang npm package na may guni-guni, react-codeshift, na ang mga tagubilin ng ahente na nabuo ng AI ay kumalat na sa 237 na repositoryo sa pamamagitan ng mga fork, kung saan sinusubukan pa rin itong i-install ng mga ahente araw-araw. Nagmula ito sa iisang commit ng mga AI-written agent skill file na hindi pa nasusuri ng kahit sinong tao. Si Eriksen mismo ang nagrehistro ng pangalan, bilang depensa, bago pa man ito magamit ng isang umaatake bilang armas.
Hiwalay, isang tunay na malisyosong pakete na pinangalanang mga hindi nagamit na import, halusinasyon kapalit ng lehitimong mga-import-ng-hindi-nagamit-na-eslint-plugin, patuloy na gumuhit ng mga pag-install kahit na inilagay ito ng npm sa ilalim ng security hold, na nagpapakita kung gaano katagal makakahanap ng mga biktima ang isang slopsquatting attack pagkatapos itong ma-flag.
Pagkatapos, noong Hulyo 2026, inilarawan ng mga mananaliksik ang isang kaugnay na pamamaraan na tinatawag na "HalluSquatting" na nagdudugtong sa isang halusinasyon sa pamamagitan ng isang agarang pag-iniksyon: ang isang AI coding agent na kumukuha ng isang halusinasyon na mapagkukunan sa ngalan ng isang gumagamit ay maaaring ma-hijack sa pagpapatakbo ng code na ibinigay ng attacker. Pinalalawak nito ang ebolusyon ng slopsquatting mula sa isang passive install risk patungo sa isang aktibong remote-code-execution vector sa loob ng mga agentic development workflow.
Bakit pinalawak ng "vibe coding" ang ibabaw ng pag-atake
Hindi magiging mahalaga ang slopsquatting kung ang AI-generated code ay niche. Hindi naman. Ang pagsikat ng mga coding assistant, autonomous agent, at “vibe coding” workflow, kung saan mas kaunti ang sinusuri ng mga developer sa code bago ito patakbuhin, ay nagpabago sa anyo ng pag-atake sa dalawang konkretong paraan.
Una, ang entry point ay hindi na lamang ang developer. Ang typosquatting attack ay nakasalalay sa isang taong nagkamali ng pagta-type. Ngayon, ang pagkakamali ay nagmumula sa loob ng modelo at kumakalat sa daan-daang developer na nagtatanong ng mga katulad na tanong at nakakakuha ng parehong rekomendasyon na parang guni-guni lamang.
Pangalawa, ang attack surface ay umakyat sa chain. Hindi na ito sapat para panoorin ang code na isinusulat ng isang tao. Kailangang bantayan ng mga team ang mga dependency na iminumungkahi ng isang AI assistant, ang mga MCP server na kinokonekta nito, at ang mga agent na nag-i-install ng mga package nang walang tao sa loop. Tradisyonal na AppSec, na ginawa para suriin ang mga repository at human commits, ay hindi kailanman idinisenyo upang obserbahan ang interaksyon sa pagitan ng developer, AI, at registry, na siyang mismong pinagtataguan ngayon ng slopsquatting.
Ano ang ibig sabihin nito para sa pag-iwas
Wala sa mga ito ang dahilan kung bakit likas na hindi ligtas ang generative AI. Nagdudulot ito ng panganib sa supply chain na hindi ginawa para mahuli ng tradisyonal na tooling, at hinihingi nito ang mga prinsipyo ng beripikasyon na inilalapat na natin sa anumang panlabas na dependency: huwag magtiwala bilang default, i-verify ang pinagmulan, at i-automate ang beripikasyon na iyon sa halip na umasa sa memorya ng bawat developer. Ang kumpletong defensive playbook ay nasa aming gabay sa Seguridad sa supply chain ng AI, ngunit ang maikling bersyon ay ang manu-manong pag-verify, bagama't kinakailangan pa rin, ay humihinto sa pag-scale sa sandaling ang isang guni-guni na pangalan ay maaaring umabot sa libu-libong developer nang sabay-sabay, o kaya ay mai-install ito ng isang ahente nang walang anumang pagsusuri ng tao.
Itigil ang mga paketeng may halusinasyon bago pa man ito mai-install ng ahente
Ang mga kaso noong 2026 ay may iisang katangian: ang mapanganib na pag-install ay nangyayari nang walang kasamang tao. Iyan ang eksaktong puwang Xygeni Shield ay binuo para sa. Shield ay isang magaan na ahente sa endpoint ng developer na humaharang sa mga malisyosong pakete sa oras ng pag-install, gamit ang Maagang Babala sa Malware (MEW) mga hatol na gumagana bago pa man magkaroon ng anumang lagda. Kapag sinubukan ng isang AI assistant o autonomous agent na mag-install ng isang hallucinated at bagong rehistradong package, Shield sinusuri ito habang kinukuha at hinaharangan, kaya hindi kailanman tatakbo ang install script, may tao man o wala na nakatingin. Ang bawat bloke ay dumadaloy patungo sa pareho Xygeni console bilang iyong code, build, at mga natuklasan sa runtime, at Shield ay kasabay ng iyong kasalukuyang EDR sa halip na kasalungat nito.
Magsimula nang libre. Ang plano ng Developer ng Xygeni ay €0: 10 repository, 200 scan kada buwan, hanggang 5 contributor, walang credit card. Sign up with GitHub, GitLab, o Google at patakbuhin ang iyong unang pag-scan sa loob ng wala pang 10 minuto; Shield Malapit nang dumating ang proteksyon ng endpoint sa plano ng Developer.
FAQ
Maaari bang maiwasan ng isang package manager ang slopsquatting nang mag-isa?
Hindi lubusan. Hinaharangan ng collision detection ng npm ang mga pangalang halos kapareho ng mga umiiral na pakete, na nakakatulong laban sa typosquatting, ngunit ang isang hallucinated na pangalan ay isang bagong-bagong string na walang collision na kailangang matukoy. Kung irerehistro ng isang attacker ang hallucinated na pakete bago ito i-install ng isang developer, makukumpleto ang pag-install nang walang error dahil tunay na umiiral ang pakete. Ang pag-iwas ay nangangailangan ng pag-verify ng pinagmulan at pag-uugali ng pakete, hindi lamang ang sariling mga pagsusuri ng registry.
Ano ang nagpapaiba sa mga kaso ng ahente noong 2026 kumpara sa mga naunang kaso ng slopsquatting?
Ang mga naunang insidente ay nakasalalay sa pagkopya at pag-paste ng isang tao sa iminungkahing utos ng pag-install. Sa mga kaso noong 2026, ang mga autonomous agent ay nag-install o nagtangkang mag-install ng mga hallucination package nang walang taong sumusuri sa hakbang, at ang HalluSquatting technique ay lumampas pa sa pamamagitan ng pag-ugnay ng isang hallucination sa pamamagitan ng isang mabilis na pag-iniksyon upang makamit ang remote code execution sa loob ng workflow ng agent.
