Co je slopsquatting?

Odkud pochází název

Termín je slovní hříčkou na typosquatting, přičemž „slop“ označuje nekvalitní výstup AI. Za jeho autora je považován Seth Larson, security developer-in-residence v Python Software Foundation, v roce 2025.

Jak vznikají halucinované balíčky

Jazykový model píše to, co vypadá pravděpodobně. Věrohodný název, třeba knihovny pro běžnou úlohu, může vypadat stejně pravděpodobně jako skutečný, a model tak občas napíše import nebo instalační příkaz pro balíček, který nikdy nikdo nezveřejnil.

Studie představená na USENIX Security 2025 otestovala 16 populárních modelů na 576 000 ukázkách kódu. Podíl halucinovaných balíčků činil nejméně 5,2 % u komerčních modelů a 21,7 % u open source modelů, s 205 474 unikátními vymyšlenými názvy. Výzkumníci problém popsali jako trvalý a systémový.

Jak probíhá útok slopsquatting

1. Sběr názvů. Útočník klade modelům běžné programátorské otázky a zapisuje si, které balíčky neexistují.
2. Zveřejnění. Tyto názvy zaregistruje na npm nebo PyPI s funkčním balíčkem, který skrývá škodlivý kód.
3. Čekání. Vývojář vloží návrh do kódu, nebo agent pro programování spustí instalaci sám.
4. Spuštění. Instalační skript se spustí na počítači vývojáře nebo v CI s přístupem k tokenům a tajným klíčům.

Slopsquatting vs typosquatting

	Typosquatting	Slopsquatting
Zdroj chyby	Člověk se v názvu překlepne	Model si název vymyslí
Název	Blízký skutečnému balíčku	Věrohodný, ale bez skutečného balíčku
Kdo ho nainstaluje	Vývojář	Vývojář, nebo agent, u kterého název nečte žádný člověk
Proč je detekce těžší	Kontroly podobnosti ho mohou porovnat s populárními názvy	Nemusí existovat žádný populární název, se kterým ho porovnat

Proč agenti pro programování zvyšují sázky

U chatovacího asistenta si člověk návrh přečte, než ho spustí. Agent pro programování může napsat kód, přidat závislost a spustit instalaci v jednom kroku. Lidská kontrola, která zachytí mnoho špatných názvů, zmizí a instalace proběhne všude, kde agent běží, často s přihlašovacími údaji vývojáře nebo uvnitř CI. Širší souvislosti najdete v článku bezpečnost vývoje s pomocí AI.

Jak se bránit slopsquattingu

• Ověřte balíček před instalací. Zkontrolujte, že navrhovaný balíček existuje, má skutečný repozitář a nějakou historii. Balíček vytvořený minulý týden si zaslouží podezření.
• Kontrolujte změny v lockfilu. Nové závislosti by měly být vidět v pull requestech, ať kód napsal kdokoli nebo cokoli. Viz co zaznamenává lockfile.
• Omezte, co agenti smějí. Vyžadujte schválení, než agent nainstaluje balíčky, a spouštějte agenty v sandboxu bez produkčních přihlašovacích údajů.
• Odkládejte nové balíčky. Pomáhá pravidlo proti balíčkům zveřejněným v posledních několika dnech.
• Vypněte instalační skripty, kde to váš build dovolí.
• Omezte odchozí provoz z buildů. Balíček, který se nedostane k útočníkovi, nemůže vaše tajné klíče nikam odeslat. Viz egress policy pro GitHub Actions.

Nový slopsquattingový balíček nemá žádné bezpečnostní upozornění, takže ho sken SCA ani npm audit nenahlásí. Úplný seznam opatření najdete v článku osvědčené postupy pro bezpečnost softwarového dodavatelského řetězce.

Jak CRACI omezuje škody

CRACI nové škodlivé balíčky nedetekuje, proto je prověřujte jinými nástroji. Omezuje však škody, když se takový balíček do vašeho buildu dostane. Jako váš runner pro GitHub Actions vynucuje politiku odchozího provozu, která blokuje spojení, jež build nepotřebuje, a chrání vás i tehdy, když útok dosud nikdo neviděl. Navíc zaznamenává každý balíček, který každý job stáhl, takže jakmile je škodlivý balíček známý, vidíte, které buildy ho natáhly.

Slopsquatting: časté dotazy

Co je slopsquatting?

Útok, při kterém někdo registruje názvy balíčků vymyšlené AI asistenty pro programování, takže každý, kdo se návrhem řídí, nainstaluje kód útočníka.

Kdo vymyslel termín slopsquatting?

Za jeho autora je považován Seth Larson, security developer-in-residence v Python Software Foundation, v roce 2025.

Co je halucinovaný balíček?

Název balíčku, který model AI navrhne, přestože žádný takový balíček neexistuje. Výzkum to zjistil ve významném podílu vygenerovaných ukázek kódu.

Jak se slopsquatting liší od typosquattingu?

Typosquatting spoléhá na to, že se člověk překlepne v názvu skutečného balíčku. Slopsquatting spoléhá na to, že model vymyslí název, který nikdy neexistoval, takže není s čím ho porovnat.

Jak slopsquattingu předejít?

Ověřujte, že navrhované balíčky skutečně existují, kontrolujte nové závislosti v pull requestech, vyžadujte schválení, než agenti cokoli nainstalují, a omezte odchozí provoz z buildů.