Vad är slopsquatting?

Var namnet kommer ifrån

Termen är en lek med typosquatting, där "slop" betyder AI-resultat av låg kvalitet. Den tillskrivs Seth Larson, security developer-in-residence på Python Software Foundation, år 2025.

Så uppstår hallucinerade paket

En språkmodell skriver det som verkar sannolikt. Ett trovärdigt namn, till exempel på ett bibliotek för en vanlig uppgift, kan verka lika sannolikt som ett riktigt, så modellen skriver ibland en import eller ett installationskommando för ett paket som ingen någonsin har publicerat.

En studie som presenterades på USENIX Security 2025 testade 16 populära modeller på 576 000 kodexempel. Andelen hallucinerade paket var minst 5,2 % för kommersiella modeller och 21,7 % för modeller med öppen källkod, med 205 474 unika påhittade namn. Forskarna beskrev problemet som ihållande och systemiskt.

Så fungerar en slopsquatting-attack

1. Samla in namnen. Angriparen ställer vanliga kodfrågor till modeller och noterar vilka paket som inte finns.
2. Publicera dem. Angriparen registrerar namnen på npm eller PyPI, med ett fungerande paket som döljer en nyttolast.
3. Vänta. En utvecklare klistrar in förslaget, eller en kodagent kör installationen på egen hand.
4. Kör. Ett installationsskript körs på utvecklarens dator eller i CI, med åtkomst till tokens och hemligheter.

Slopsquatting vs typosquatting

	Typosquatting	Slopsquatting
Felets källa	En person skriver fel namn	En modell hittar på ett namn
Namnet	Liknar ett riktigt paket	Trovärdigt, utan något riktigt paket bakom
Vem som installerar det	En utvecklare	En utvecklare, eller en agent utan att en människa läser namnet
Varför det är svårare att upptäcka	Kontroller av efterliknande namn kan jämföra det med populära namn	Det kanske inte finns något populärt namn att jämföra med

Varför kodagenter höjer insatserna

Med en chattassistent läser en person förslaget innan det körs. En kodagent kan skriva koden, lägga till beroendet och köra installationen i ett enda steg. Den mänskliga kontrollen som fångar många dåliga namn är borta, och installationen sker där agenten körs, ofta med utvecklarens inloggningsuppgifter eller i CI. För en bredare bild, se säkerhet i AI-driven utveckling.

Så skyddar du dig mot slopsquatting

• Kontrollera innan du installerar. Kontrollera att ett föreslaget paket finns, har ett riktigt repo och har en historik. Ett paket som skapades förra veckan förtjänar misstänksamhet.
• Granska ändringar i lockfiler. Nya beroenden ska synas i pull requests, oavsett vem eller vad som skrev koden. Se vad en lockfile registrerar.
• Begränsa vad agenter kan göra. Kräv godkännande innan en agent installerar paket, och kör agenter i en sandlåda utan inloggningsuppgifter för produktion.
• Vänta med nya paket. En regel mot paket som publicerats under de senaste dagarna hjälper.
• Stäng av installationsskript där ditt bygge tillåter det.
• Begränsa utgående trafik från byggen. Ett paket som inte kan nå angriparen kan inte skicka dina hemligheter någonstans. Se egress-policy för GitHub Actions.

Ett nytt slopsquatting-paket har inget säkerhetsmeddelande, så en SCA-skanning eller npm audit rapporterar det inte. För hela listan med kontroller, se bästa praxis för säkerhet i mjukvarans leveranskedja.

Så begränsar CRACI skadan

CRACI upptäcker inte nya skadliga paket, så granska dem med andra verktyg. Det CRACI gör är att begränsa skadan när ett når ditt bygge. Som din GitHub Actions-runner upprätthåller CRACI en egress-policy som blockerar anslutningar som bygget inte behöver, vilket skyddar dig även när ingen har sett attacken tidigare. CRACI registrerar också varje paket som varje jobb hämtade, så när ett dåligt paket väl är känt kan du se vilka byggen som drog in det.

Slopsquatting: vanliga frågor

Vad är slopsquatting?

En attack där någon registrerar paketnamn som AI-kodassistenter hittar på, så att den som följer förslaget installerar angriparens kod.

Vem myntade termen slopsquatting?

Den tillskrivs Seth Larson, security developer-in-residence på Python Software Foundation, år 2025.

Vad är ett hallucinerat paket?

Ett paketnamn som en AI-modell föreslår trots att inget sådant paket finns. Forskning har visat att det förekommer i en betydande andel av genererade kodexempel.

Hur skiljer sig slopsquatting från typosquatting?

Typosquatting bygger på att en person skriver fel namn på ett riktigt paket. Slopsquatting bygger på att en modell hittar på ett namn som aldrig har funnits, så det finns inget riktigt paket att jämföra med.

Hur förhindrar du slopsquatting?

Kontrollera att föreslagna paket är riktiga, granska nya beroenden i pull requests, kräv godkännande innan agenter installerar något och begränsa utgående trafik från byggen.