Lieferkette
Was ist Slopsquatting?
Slopsquatting ist ein Angriff, bei dem Paketnamen registriert werden, die KI-Coding-Assistenten erfunden haben. Schlägt ein Modell ein Paket vor, das es gar nicht gibt, kann ein Angreifer unter diesem Namen Malware veröffentlichen, und wer als Nächstes dem Vorschlag folgt, ob Mensch oder Agent, installiert sie. Es ist Typosquatting ohne Tippfehler.
Aktualisiert am
Woher der Name kommt
Der Begriff ist ein Wortspiel mit Typosquatting, wobei „slop“ minderwertige KI-Ausgaben bezeichnet. Er wird Seth Larson, Security Developer-in-Residence der Python Software Foundation, zugeschrieben und stammt aus dem Jahr 2025.
Wie Paket-Halluzinationen entstehen
Ein Sprachmodell schreibt, was wahrscheinlich aussieht. Ein plausibler Name, etwa für eine Bibliothek zu einer gängigen Aufgabe, kann genauso wahrscheinlich aussehen wie ein echter. Deshalb schreibt das Modell manchmal einen Import oder Installationsbefehl für ein Paket, das nie jemand veröffentlicht hat.
Eine auf der USENIX Security 2025 vorgestellte Studie testete 16 beliebte Modelle anhand von 576.000 Codebeispielen. Der Anteil halluzinierter Pakete lag bei mindestens 5,2 % für kommerzielle Modelle und 21,7 % für Open-Source-Modelle, mit 205.474 einzigartigen erfundenen Namen. Die Forschenden bezeichneten das Problem als anhaltend und systemisch.
So funktioniert ein Slopsquatting-Angriff
- Die Namen sammeln. Der Angreifer stellt Modellen gängige Programmierfragen und notiert, welche Pakete es nicht gibt.
- Sie veröffentlichen. Er registriert diese Namen auf npm oder PyPI, mit einem funktionierenden Paket, das Schadcode versteckt.
- Warten. Eine Entwicklerin oder ein Entwickler fügt den Vorschlag ein, oder ein Coding-Agent führt die Installation selbstständig aus.
- Ausführen. Ein Install-Skript läuft auf dem Entwicklerrechner oder im CI, mit Zugriff auf Tokens und Secrets.
Slopsquatting vs. Typosquatting
| Typosquatting | Slopsquatting | |
|---|---|---|
| Quelle des Fehlers | Eine Person vertippt sich bei einem Namen | Ein Modell erfindet einen Namen |
| Der Name | Ähnlich wie ein echtes Paket | Plausibel, ohne echtes Paket dahinter |
| Wer ihn installiert | Entwicklerinnen und Entwickler | Entwicklerinnen und Entwickler oder ein Agent, ohne dass ein Mensch den Namen liest |
| Warum die Erkennung schwieriger ist | Doppelgänger-Prüfungen können ihn mit beliebten Namen vergleichen | Es gibt womöglich keinen beliebten Namen zum Vergleich |
Warum Coding-Agenten das Risiko erhöhen
Bei einem Chat-Assistenten liest ein Mensch den Vorschlag, bevor er ihn ausführt. Ein Coding-Agent kann den Code schreiben, die Abhängigkeit hinzufügen und die Installation in einem Schritt ausführen. Die menschliche Prüfung, die viele schlechte Namen abfängt, fällt weg, und die Installation erfolgt dort, wo der Agent läuft, oft mit den Zugangsdaten der Entwicklerin oder des Entwicklers oder im CI. Das Gesamtbild finden Sie unter Sicherheit für KI-gestützte Entwicklung.
So schützen Sie sich vor Slopsquatting
- Vor der Installation prüfen. Vergewissern Sie sich, dass ein vorgeschlagenes Paket existiert, ein echtes Repository und eine Historie hat. Ein Paket, das letzte Woche erstellt wurde, verdient Misstrauen.
- Lockfile-Änderungen prüfen. Neue Abhängigkeiten sollten in Pull Requests sichtbar sein, egal wer oder was den Code geschrieben hat. Siehe was ein Lockfile aufzeichnet.
- Begrenzen, was Agenten dürfen. Verlangen Sie eine Freigabe, bevor ein Agent Pakete installiert, und lassen Sie Agenten in einer Sandbox ohne Produktionszugangsdaten laufen.
- Mit neuen Paketen warten. Eine Regel gegen Pakete, die in den letzten Tagen veröffentlicht wurden, hilft.
- Install-Skripte deaktivieren, wo Ihr Build das zulässt.
- Ausgehenden Datenverkehr von Builds einschränken. Ein Paket, das den Angreifer nicht erreichen kann, kann Ihre Secrets nirgendwohin senden. Siehe GitHub-Actions-Egress-Richtlinie.
Zu einem neuen Slopsquatting-Paket gibt es kein Advisory, daher meldet es weder ein SCA-Scan noch npm audit. Die vollständige Liste der Kontrollen finden Sie unter Best Practices für Software-Lieferkettensicherheit.
Wie CRACI den Schaden begrenzt
CRACI erkennt keine neuen bösartigen Pakete. Prüfen Sie sie also mit anderen Tools. Was es tut: Es begrenzt den Schaden, wenn eines Ihren Build erreicht. Als Ihr GitHub-Actions-Runner setzt es eine Egress-Richtlinie durch, die Verbindungen blockiert, die der Build nicht braucht, was Sie selbst dann schützt, wenn noch niemand den Angriff gesehen hat. Außerdem zeichnet es jedes Paket auf, das jeder Job geladen hat. Sobald ein schädliches Paket bekannt ist, sehen Sie also, welche Builds es geladen haben.
Slopsquatting: häufig gestellte Fragen
Was ist Slopsquatting?
Ein Angriff, bei dem jemand Paketnamen registriert, die KI-Coding-Assistenten erfinden, sodass alle, die dem Vorschlag folgen, den Code des Angreifers installieren.
Wer hat den Begriff Slopsquatting geprägt?
Er wird Seth Larson, Security Developer-in-Residence der Python Software Foundation, zugeschrieben und stammt aus dem Jahr 2025.
Was ist ein halluziniertes Paket?
Ein Paketname, den ein KI-Modell vorschlägt, obwohl es kein solches Paket gibt. Forschungsergebnisse zeigen das bei einem erheblichen Anteil generierter Codebeispiele.
Wie unterscheidet sich Slopsquatting von Typosquatting?
Typosquatting setzt darauf, dass sich eine Person beim Namen eines echten Pakets vertippt. Slopsquatting setzt darauf, dass ein Modell einen Namen erfindet, den es nie gab, sodass es kein echtes Paket zum Vergleich gibt.
Wie lässt sich Slopsquatting verhindern?
Prüfen Sie, ob vorgeschlagene Pakete echt sind, prüfen Sie neue Abhängigkeiten in Pull Requests, verlangen Sie eine Freigabe, bevor Agenten etwas installieren, und schränken Sie ausgehenden Datenverkehr von Builds ein.
Dämmen Sie das Paket ein, das niemand installieren wollte
Blockieren Sie die ausgehenden Verbindungen, die Ihre Builds nicht brauchen, und behalten Sie eine Aufzeichnung jedes Pakets, das sie geladen haben.
Demo buchen