Leverandørkjede
Hva er slopsquatting?
Slopsquatting er et angrep som registrerer pakkenavn oppfunnet av AI-kodeassistenter. Når en modell foreslår en pakke som ikke finnes, kan en angriper publisere skadevare under det navnet, og den neste utvikleren eller agenten som følger forslaget, installerer den. Det er typosquatting uten skrivefeilen.
Oppdatert
Hvor navnet kommer fra
Begrepet er et ordspill på typosquatting, der «slop» betyr AI-generert innhold av lav kvalitet. Det tilskrives Seth Larson, security developer-in-residence i Python Software Foundation, i 2025.
Slik oppstår pakkehallusinasjoner
En språkmodell skriver det som ser sannsynlig ut. Et plausibelt navn, for eksempel på et bibliotek for en vanlig oppgave, kan se like sannsynlig ut som et ekte, så modellen skriver noen ganger en import- eller installasjonskommando for en pakke ingen noen gang har publisert.
En studie presentert på USENIX Security 2025 testet 16 populære modeller på 576 000 kodeeksempler. Andelen hallusinerte pakker var minst 5,2 % for kommersielle modeller og 21,7 % for modeller med åpen kildekode, med 205 474 unike oppfunne navn. Forskerne beskrev problemet som vedvarende og systemisk.
Slik fungerer et slopsquatting-angrep
- Samler navnene. Angriperen stiller modeller vanlige kodespørsmål og noterer hvilke pakker som ikke finnes.
- Publiserer dem. Angriperen registrerer navnene på npm eller PyPI, med en fungerende pakke som skjuler en nyttelast.
- Venter. En utvikler limer inn forslaget, eller en kodeagent kjører installasjonen på egen hånd.
- Kjører. Et installasjonsskript kjører på utviklerens maskin eller i CI, med tilgang til tokens og hemmeligheter.
Slopsquatting vs typosquatting
| Typosquatting | Slopsquatting | |
|---|---|---|
| Kilden til feilen | En person skriver et navn feil | En modell finner på et navn |
| Navnet | Nær en ekte pakke | Plausibelt, uten noen ekte pakke bak |
| Hvem som installerer den | En utvikler | En utvikler, eller en agent uten at et menneske leser navnet |
| Hvorfor det er vanskeligere å oppdage | Sjekker for etterligninger kan sammenligne det med populære navn | Det finnes kanskje ikke noe populært navn å sammenligne med |
Hvorfor kodeagenter øker risikoen
Med en chatassistent leser en person forslaget før det kjøres. En kodeagent kan skrive koden, legge til avhengigheten og kjøre installasjonen i ett steg. Den menneskelige sjekken som fanger mange dårlige navn, er borte, og installasjonen skjer der agenten kjører, ofte med utviklerens påloggingsinformasjon eller inne i CI. Det større bildet finner du i sikkerhet for AI-assistert utvikling.
Slik beskytter du deg mot slopsquatting
- Verifiser før du installerer. Sjekk at en foreslått pakke finnes, har et ekte repositorium og har en historikk. En pakke opprettet forrige uke fortjener mistenksomhet.
- Gå gjennom endringer i lockfilen. Nye avhengigheter bør være synlige i pull requests, uansett hvem eller hva som skrev koden. Se hva en lockfile registrerer.
- Begrens hva agenter kan gjøre. Krev godkjenning før en agent installerer pakker, og kjør agenter i en sandkasse uten påloggingsinformasjon til produksjon.
- Utsett nye pakker. En regel mot pakker publisert de siste dagene hjelper.
- Deaktiver installasjonsskript der bygget ditt tillater det.
- Begrens utgående trafikk fra bygg. En pakke som ikke kan nå angriperen, kan ikke sende hemmelighetene dine noe sted. Se egress-policy for GitHub Actions.
En ny slopsquatting-pakke har ingen advisory, så en SCA-skanning eller npm audit vil ikke rapportere den. Hele listen over kontroller finner du i beste praksis for sikkerhet i programvareleverandørkjeden.
Slik begrenser CRACI skaden
CRACI oppdager ikke nye ondsinnede pakker, så vurder dem med andre verktøy. Det CRACI gjør, er å begrense skaden når en av dem når bygget ditt. Som GitHub Actions-runneren din håndhever CRACI en egress-policy som blokkerer tilkoblinger bygget ikke trenger, noe som beskytter deg også når ingen har sett angrepet før. CRACI registrerer også hver pakke hver jobb hentet, så når en dårlig pakke er kjent, kan du se hvilke bygg som trakk den inn.
Slopsquatting: ofte stilte spørsmål
Hva er slopsquatting?
Et angrep der noen registrerer pakkenavn som AI-kodeassistenter finner på, slik at alle som følger forslaget, installerer angriperens kode.
Hvem fant på begrepet slopsquatting?
Det tilskrives Seth Larson, security developer-in-residence i Python Software Foundation, i 2025.
Hva er en hallusinert pakke?
Et pakkenavn som en AI-modell foreslår selv om det ikke finnes noen slik pakke. Forskning har funnet dette i en betydelig andel av genererte kodeeksempler.
Hvordan skiller slopsquatting seg fra typosquatting?
Typosquatting er avhengig av at en person skriver navnet på en ekte pakke feil. Slopsquatting er avhengig av at en modell finner på et navn som aldri har eksistert, så det finnes ingen ekte pakke å sammenligne det med.
Hvordan forhindrer du slopsquatting?
Verifiser at foreslåtte pakker er ekte, gå gjennom nye avhengigheter i pull requests, krev godkjenning før agenter installerer noe, og begrens utgående trafikk fra bygg.
Begrens skaden fra pakken ingen mente å installere
Blokker de utgående tilkoblingene byggene dine ikke trenger, og behold en oversikt over hver pakke de hentet.
Book en demo