Ní ọdún 2023, olùwádìí ààbò kan tí orúkọ rẹ̀ ń jẹ́ Bar Lanyado ṣe àyẹ̀wò kan tí ó dákẹ́jẹ́ẹ́. Ó kíyèsí pé àwọn olùrànlọ́wọ́ ìkọ̀wé AI ń dámọ̀ràn package Python tí a pè ní huggingface-cli, àpò tí kò sí. Nítorí náà, ó ṣẹ̀dá rẹ̀: ibi ìpamọ́ òfo kan, tí a gbé sórí ìkànnì lábẹ́ orúkọ gangan tí àwọn àpẹẹrẹ náà ń ṣẹ̀dá. Kò fi iṣẹ́ kankan kún un, kò sì fi ẹrù iṣẹ́ kún un. Ó kàn dúró.
Láàárín oṣù mẹ́ta, wọ́n ti gba àpò náà sílẹ̀ ní ìgbà tó ju ẹgbẹ̀rún mẹ́ta lọ. Àṣẹ ìfipamọ́ tí wọ́n fi ń ṣe àròjinlẹ̀ ti rí i pé ó wọ inú ibi ìpamọ́ README gbogbogbòò tí ó jẹ́ ti ilé-iṣẹ́ ìmọ̀-ẹ̀rọ ńlá kan. Àpò Lanyado kò léwu. Ṣùgbọ́n ìdánwò náà fi ohun kan hàn bí ohun tí kò dáa: ẹni tí ó kọlù lè sọ àsọtẹ́lẹ̀ ohun tí AI kan yóò ṣe, kí ó kọ́kọ́ forúkọ sílẹ̀, kí ó sì jẹ́ kí àwọn olùgbékalẹ̀ fi í sílẹ̀ fúnra wọn. Ọ̀nà yẹn ti ní orúkọ báyìí, ìdúró slop, ó sì jẹ́ ọ̀kan lára àwọn ewu tó ń pọ̀ sí i ní kíákíá nínú ẹ̀ka ìpèsè sọ́fítíwètì.
Kí ni slopsquatting?
Slopsquatting ni ikọlu pq ipese kan nínú èyí tí olùkọlù kan ń forúkọ sílẹ̀ fún àkójọ sọ́fítíwọ́ọ̀kì búburú lábẹ́ orúkọ kan tí àwọn olùrànlọ́wọ́ ìkọ̀wé AI máa ń sọ tẹ́lẹ̀ pé ó lè máa ríran. Nígbà tí olùgbékalẹ̀ kan bá béèrè fún ìrànlọ́wọ́ nípa ohun èlò AI kan, tí ó sì dámọ̀ràn fífi ohun tí ó lè dún bí èyí tí ó ṣeé ṣe ṣùgbọ́n tí kò sí, olùkọlù náà ti sọ orúkọ yẹn tẹ́lẹ̀ nínú ìforúkọsílẹ̀ gbogbogbòò, nítorí náà, àbá “wúlò” náà yóò fi malware sínú ipò dípò ohunkóhun.
Oro ti wà Seth Larson ló dá a sílẹ̀ ní oṣù kẹrin ọdún 2025., olùgbékalẹ̀ ààbò tí ó wà ní Python Software Foundation. Ó jẹ́ eré lórí typosquatting, ìkọlù àtijọ́ níbi tí àwọn ọ̀daràn ti ń kọ àṣìṣe ìkọ̀wé àwọn àkójọpọ̀ tó gbajúmọ̀ (awọn ibeere dipo ibeere). Ìyàtọ̀ náà ni orísun àṣìṣe náà: ìkọ̀wé ìkọ̀wé ń lo àṣìṣe ènìyàn, nígbà tí ìkọ̀wé ìkọ̀wé ń lo “slop” AI: ìjáde tí ó ní ìgbẹ́kẹ̀lé, tí ó rọrùn, tí kò tọ́ tí àwọn àpẹẹrẹ èdè ńlá ń mú jáde.
Kí nìdí tí slopsquatting fi ń ṣiṣẹ́ gan-an?
O le ro pe awọn iro inu AI jẹ ariwo lairotẹlẹ: orukọ eke ti o yatọ ni gbogbo igba, ko ṣee ṣe lati fi ohun ija ṣe. Iwadi naa sọ pe bibẹkọ, iyẹn ni gbogbo koko naa.
Ìwádìí tí àwọn ẹgbẹ́ ṣe àtúnyẹ̀wò rẹ̀ ni a gbé kalẹ̀ ní USENIX Aabo 2025 (Spracklen et al.) Wọ́n dán àwọn àwòṣe èdè ńláńlá mẹ́rìndínlógún wò láàárín àwọn àwòṣe kódì 576,000 tí a ṣẹ̀dá. Ó rí i pé 19.7% àwọn àkójọ tí a dámọ̀ràn kò sí: àwọn orúkọ àròsọ aláìlẹ́gbẹ́ 205,474 lápapọ̀. Ní pàtàkì, àwọn àròsọ wọ̀nyẹn ni atunwi: 43% àwọn orúkọ èké tún farahàn lórí àwọn ìbéèrè tí a tún ṣe, àti 58% tún farahàn lórí àwọn ìpele mẹ́wàá ti ìbéèrè kan náà. Àwọn àwòrán Open-source ṣe àfihàn àwọn àkójọpọ̀ 21.7% ti àkókò náà; àní àwọn àwòrán ìṣòwò bíi GPT-4 ṣe bẹ́ẹ̀ 5.2% ti àkókò náà: ọ̀kan nínú ogún.
Àtúnṣe ni ohun tó ń sọ àṣìṣe kan di ìkọlù. Ẹni tó ń kọlù kò nílò láti méfò. Wọ́n lè lo àwọn ìbéèrè tó gbajúmọ̀, kí wọ́n kọ àwọn àkójọ tí àwọn àpẹẹrẹ náà ń dámọ̀ràn sílẹ̀, kí wọ́n sì kọ orúkọ wọn sílẹ̀ gẹ́gẹ́ bí malware. AI ló ń ṣe àfojúsùn fún wọn.
Báwo ni ìkọlù ìdúró ṣinṣin ṣe ń ṣẹlẹ̀
Ẹ̀wọ̀n ìkọlù náà kúrú, èyí sì jẹ́ ara ìdí tí ó fi léwu:
- Ṣe akiyesi. Olùkọlù náà ń rọ àwọn olùrànlọ́wọ́ ìkọ̀wé AI pẹ̀lú àwọn iṣẹ́ ìdàgbàsókè tí ó wọ́pọ̀, ó sì ń kọ orúkọ àwọn irinṣẹ́ wọ̀nyẹn tí a ṣe ṣùgbọ́n tí kò sí nínú ìforúkọsílẹ̀ náà.
- Forukọsilẹ. Wọ́n ń tẹ àkójọpọ̀ ìwà ìkà jáde lábẹ́ ọ̀kan lára àwọn orúkọ tí a fi ń sọ ìtàn àròsọ, pẹ̀lú README mímọ́, metadata tí ó ṣeé gbàgbọ́, àti ẹrù ìsanwó tí a fi pamọ́ sínú ìwé ìfipamọ́.
- Duro. Olùgbéjáde kan (tàbí aṣojú ìkọ̀wé aládàáni) béèrè ìbéèrè kan náà lọ́wọ́ ohun èlò AI kan, ó gba àbá kan náà tí a ti rí lára rẹ̀, ó sì ń ṣiṣẹ́ fi sori ẹrọ.
- Ṣe. Àwọn ohun èlò ìkọ́lé tí wọ́n fi sínú àpótí náà máa ń tàn jáde, wọ́n máa ń yọ àṣírí kúrò, wọ́n máa ń ṣí ìbòrí ẹ̀yìn, tàbí wọ́n máa ń gbin ilẹ̀kùn ẹ̀yìn, àdéhùn náà sì máa ń lọ sí ìsàlẹ̀ àwọn ilé àti iṣẹ́.
Àwọn olùṣe ìkọ̀wé aládàáni mú kí ìgbésẹ̀ kẹta ṣeé ṣe jù. Aṣojú tí ó bá fi àwọn ìgbẹ́kẹ̀lé sí i láìsí àtúnyẹ̀wò ènìyàn yóò mú ibi ìwádìí kan ṣoṣo tí olùgbékalẹ̀ kan lè ti dúró kí ó sì rò pé, “Èmi kò gbọ́ nípa àpò yẹn rí.”
Bawo ni o buru, looto?
Ó ń burú sí i, kò dára sí i. Ìwádìí USENIX dán àwọn àwòṣe mẹ́rìndínlógún wò, ó sì tún rí i pé ó fẹ́rẹ̀ẹ́ jẹ́ pé ọ̀kan nínú márùn-ún àwọn àwòṣe tí a dámọ̀ràn kò sí, nítorí náà èyí kì í ṣe ìṣòro tí ó wà fún àwọn irinṣẹ́ àtijọ́ tàbí àwọn ohun èlò tí kò lágbára. Àti olùrànlọ́wọ́ kódì tí ń ṣiṣẹ́ láti inú dátà ìdánilẹ́kọ̀ọ́ nìkan kò ní ọ̀nà láti mọ̀ bóyá orúkọ àwòṣe tí ó dámọ̀ràn jẹ́ ààbò, àlá, tàbí tí a ti fi àmì sí gẹ́gẹ́ bí malware: kò ní ìwòye gidi nípa ìforúkọsílẹ̀ náà. Kì í ṣe ìfẹ́ inú yàrá ìwádìí. Ìwà tí àwọn olùgbékalẹ̀ ń gbẹ́kẹ̀lé ni ó ń hù ní ọ̀pọ̀lọpọ̀ ìgbà lóòjọ́.
Slopsquatting tun n dinku pẹlu idinku gbooro ninu imọtoto ipese. Ni ọdun 2025, awọn ipolongo ibi-apapọ onibajẹ ti o pọ si di awoṣe iṣẹ ipilẹ fun awọn ikọlu pq ipese, bi awọn iwe Xygeni's New AppSec Attack Trends fun 2026 ṣe n ṣiṣẹ: awọn olukọlu n tẹjade ni iwọn didun, gba awọn gbigba silẹ ni kiakia, ati gbekele iṣeeṣe, ati awọn iranran AI n fun wọn ni ipese awọn orukọ iyipada giga lati forukọsilẹ nigbagbogbo.
Báwo ni a ṣe lè dáàbò bo ara wa lọ́wọ́ ìsúnkì slopsquatting
Òtítọ́ tí kò rọrùn ni pé àwọn irinṣẹ́ ìfọwọ́sowọ́pọ̀ kò lè gbé èyí yẹ̀ wò. Àpò ìfọwọ́sowọ́pọ̀ tí ó lọ́ra jẹ́ tuntun; kò sí CVE, kò sí ìfọwọ́sowọ́pọ̀, ó sì lè wà láàyè fún wákàtí díẹ̀ kí a tó yọ ọ́ kúrò, ó sì lè pẹ́ tó láti kó ẹgbẹẹgbẹ̀rún àwọn ìfisẹ́lé jọ. Ìgbèjà tó gbéṣẹ́ dúró lórí àwọn ìṣe mẹ́rin:
- Má ṣe fi package tí AI dámọ̀ràn sínú rẹ̀ láìjẹ́ kí ó jẹ́ pé ó wà, ó sì tọ́. Ṣàyẹ̀wò ìtàn ìgbàsílẹ̀ gidi, olùtọ́jú, àti ibi ìkópamọ́, kìí ṣe pé orúkọ náà dún bí ohun tó tọ́ nìkan.
- Ṣàwárí malware nípa ìwà, kìí ṣe nípasẹ̀ ìfọwọ́sowọ́pọ̀. Ṣe àmì sí àpò kan ní àkókò ìtẹ̀jáde lórí àwọn ìgbésẹ̀ àkókò ìfisílé rẹ̀, àwọn ìpè nẹ́tíwọ́ọ̀kì, àti àwọn àpẹẹrẹ ìbòjú, nítorí náà, a máa ń fi àmì sí àpò ìkà kan ní kété tí ó bá fara hàn dípò lẹ́yìn tí a ti mọ̀ ọ́n tẹ́lẹ̀.
- Fi ogiriina igbẹkẹle kan si laarin awọn olupilẹṣẹ ati iforukọsilẹ. Ṣe àkóso àwọn páálí tí ó fura sí tàbí tí ó jẹ́ tuntun láìfọwọ́sowọ́pọ̀ kí wọ́n tó dé ìkọ́lé kan, dípò kí o gbẹ́kẹ̀lé ìforúkọsílẹ̀ gbogbogbòò láìfọwọ́sowọ́pọ̀.
- Ṣe àkójọpọ̀ ohun tí AI ń ṣiṣẹ́ nínú rẹ pipeline. Àwọn olùrànlọ́wọ́ kódì àti àwọn aṣojú aládàáni tí wọ́n ń fi àwọn ìgbẹ́kẹ̀lé sínú ẹ̀rọ jẹ́ ara ojú ìkọlù rẹ. Ìwé Àṣẹ Àwọn Ohun Èlò AI (AI-BOM) mú kí èyí hàn gbangba.
Slopsquatting jẹ́ àmì kan ti ìyípadà ńlá kan
Slopsquatting jẹ́ àpẹẹrẹ tó lágbára jùlọ nínú ìlànà tó gbòòrò: AI ti di ohun tó ń kọ kódì rẹ àti ohun tí àwọn tó ń tako ọn ń tọ́ka sí nínú ẹ̀wọ̀n ìpèsè rẹ. Dídáàbòbò rẹ̀ ní ìdákọ́ńkọ́ kò tó; ó wà nínú ètò tó gbòòrò. Fún àwòrán tó péye, wo ìtọ́sọ́nà wa sí Aabo pq ipese AI, èyí tí ó bo àwọn àkójọ ìkà, Àwọn ewu MCP, àti kódì tí AI ṣe pẹ̀lú àwọn ààbò tí ó ń bójútó wọn.
Dáwọ́ dúró ní ìdákẹ́jẹ́ẹ́ kí ó tó dé ibi tí o ti kọ́ ọ.
Ibi ti o munadoko julọ lati da package slopsquatted duro ni igba ti olupilẹṣẹ kan ba gbiyanju lati fi sii, ṣaaju ki iwe afọwọkọ fifi sori ẹrọ naa to ṣiṣẹ. Iyẹn ni ohun ti Xygeni Shield ṣe. Shield jẹ́ ohun èlò tó fúyẹ́ lórí ìparí olùgbékalẹ̀ tó ń dí àwọn pákì búburú nígbà tí a bá ń fi sori ẹ̀rọ, nípa lílo Ìkìlọ̀ Àkọ́kọ́ nípa Malware (MEW) ìdájọ́ tó ń ṣiṣẹ́ kí ìfọwọ́sowọ́pọ̀ èyíkéyìí tó wáyé. Nígbà tí olùrànlọ́wọ́ AI bá dámọ̀ràn ìgbẹ́kẹ̀lé ara ẹni tí a ń rí, tí olùgbékalẹ̀ náà sì ń ṣiṣẹ́ fi sori ẹrọ, Shield ó ń ṣe àyẹ̀wò àpò náà bí a ṣe ń mú un wá ó sì ń dí i: ìwé ìkọ̀we ìkà lẹ́yìn fífi sori ẹrọ kò ní ṣiṣẹ́ rárá, àwọn ẹgbẹ́ ààbò sì ń rí ìgbìyànjú náà pẹ̀lú gbogbo àyíká.
Nítorí pé MEW máa ń ṣe àyẹ̀wò ìwà àpò kan ní kété tí a bá tẹ̀ ẹ́ jáde (àwọn ìgbésẹ̀ ìgbà-fífi sori ẹrọ, àwọn ìpè nẹ́tíwọ́ọ̀kì, àwọn ìlànà ìdènà), Shield Ó máa ń mú àwọn páálí tuntun, tí kò ní ìfọwọ́sí-síbẹ̀ tí slopsquatting sinmi lé, pẹ̀lú ìkọ̀wé àṣìṣe, ìdàrúdàpọ̀ ìgbẹ́kẹ̀lé, àti ìforígbárí olùtọ́jú. Gbogbo block ń ṣàn sínú kọ̀ǹpútà Xygeni kan náà gẹ́gẹ́ bí àwọn àwárí kódì rẹ, ìkọ́lé, àti àkókò ìṣiṣẹ́ rẹ, nítorí náà kò sí tuntun dashboard ati pe ko si ibatan ataja tuntun, ati Shield nṣiṣẹ pẹlu EDR rẹ ti o wa tẹlẹ, kii ṣe lodi si rẹ.
Bẹ̀rẹ̀ lọ́fẹ̀ẹ́. Ètò Olùgbékalẹ̀ Xygeni jẹ́ €0: ibi ìpamọ́ 10, àwọn àyẹ̀wò 200 ní oṣù kan, títí dé àwọn olùkópa márùn-ún, kò sí káàdì ìsanwó. Sign up with GitHub, GitLab, tàbí Google kí o sì ṣe àyẹ̀wò àkọ́kọ́ rẹ láàárín ìṣẹ́jú mẹ́wàá; Shield Idaabobo opin aaye yoo wa si ero Olùgbékalẹ̀ laipẹ.
FAQ
Ṣé ìfọ́ ara ẹni lórí ìfọ́ ara jẹ́ ewu gidi tàbí ó kàn jẹ́ ti èrò?
Ó jẹ́ òótọ́. Ẹ̀rí èrò kan tí olùwádìí Bar Lanyado ṣe ní ọdún 2023 rí àpótí ìpamọ́ kan lábẹ́ orúkọ kan tí a fi àròjinlẹ̀ ṣe (huggingface-cli) gba lati ayelujara ju igba 30,000 lọ laarin oṣu mẹta. Iwadi USENIX Security 2025 kan fihan pe 19.7% ti awọn akopọ ti a ṣeduro fun AI ko si, ati 43% ti awọn orukọ ariran wọnyẹn tun ṣe atunwi kọja awọn ibeere, eyiti o tumọ si pe awọn olukọlu le ṣe asọtẹlẹ ati forukọsilẹ wọn.
Kí ni ìyàtọ̀ láàárín slopsquatting àti typosquatting?
Ìtẹ̀wé máa ń lo àwọn àṣìṣe ènìyàn nípa fífi àwọn àṣìṣe ìkọ̀wé àwọn àkójọpọ̀ tó gbajúmọ̀ sílẹ̀ (awọn ibeere fun ibeere) Slopsquatting ń lo àwọn àròjinlẹ̀ AI nípa fífi orúkọ àkójọpọ̀ tó dájú ṣùgbọ́n tí kò tọ́ sílẹ̀ tí àwọn àwòṣe èdè ńláńlá ṣe. Àwọn méjèèjì ń fẹ́ tan olùgbékalẹ̀ kan láti fi àkójọpọ̀ búburú kan sílẹ̀, ṣùgbọ́n àṣìṣe tí wọ́n ń lò yàtọ̀ síra.
Ṣe mo le gbekele awọn oluranlọwọ koodu AI lati daba awọn igbẹkẹle?
Kì í ṣe láìsí ìfìdí múlẹ̀. Kódà àwọn àwòṣe ìṣòwò tó gbajúmọ̀ pàápàá máa ń fi àwọn àkójọ tí kò sí ní nǹkan bí 5% ìgbà náà hàn, àti pé ìwádìí tuntun fi hàn pé ó fẹ́rẹ̀ẹ́ tó 28% àwọn àbá ìdàgbàsókè ìgbẹ́kẹ̀lé láti inú àwòṣe tó wà lọ́wọ́lọ́wọ́ jẹ́ àròsọ. Máa fìdí rẹ̀ múlẹ̀ pé àkójọ tí a dámọ̀ràn wà ní tòótọ́ àti pé ó tọ́ kí o tó fi í sí i.
Báwo ni mo ṣe lè dáàbò bo ìpìlẹ̀ koodu mi kúrò lọ́wọ́ slopsquatting?
Ṣàyẹ̀wò àwọn pákẹ́ẹ̀tì tí a dámọ̀ràn fún AI kí o tó fi sori ẹ̀rọ, ṣàwárí malware nípa ìwà ní àkókò ìtẹ̀jáde dípò dídúró fún ìfọwọ́sowọ́pọ̀, fi ogiriina ìgbẹ́kẹ̀lé láàrín àwọn olùgbékalẹ̀ àti àwọn ìforúkọsílẹ̀ gbogbogbòò, kí o sì tọ́jú àkójọ AI-BOM ti àwọn irinṣẹ́ AI àti àwọn aṣojú tí ń ṣiṣẹ́ nínú rẹ pipeline.
