Слопсквоттинг (slopsquatting)

Как работает слопсквоттинг

ИИ-ассистенты иногда рекомендуют несуществующие пакеты, это явление называют галлюцинацией пакетов. Слопсквоттинг на нём и строится. Злоумышленник собирает имена, которые модели склонны выдумывать, регистрирует их в публичном реестре вроде npm или PyPI с вредоносным кодом внутри и ждёт, пока кто-нибудь выполнит команду установки, предложенную ассистентом. Слово сочетает «AI slop» и тайпсквоттинг, а статья Socket сообщает, что его придумал Сет Ларсон (Seth Larson), Developer-in-Residence в Python Software Foundation.

Отличие от обычного тайпсквоттинга в том, что жертва ничего не опечатывает. Имя подсказывает ассистент, причём уверенно, а вайб-кодинг упрощает вставку команды без проверки. Установка пакета может сразу запускать его скрипты установки, поэтому плохая зависимость способна выполнить код на вашем ноутбуке или сервере уже во время установки, ещё до старта приложения.

Что показали исследования

В статье «We Have a Package for You!» (Спрэклен и соавторы, принята на USENIX Security 2025) измерили галлюцинацию пакетов у моделей, генерирующих код. Авторы протестировали 16 популярных моделей и получили 576 000 образцов кода на двух языках программирования.

• Доля выдуманных пакетов в среднем составила не менее 5,2% у коммерческих моделей и 21,7% у моделей с открытым кодом.
• Всего в исследовании нашлось 205 474 уникальных выдуманных имён пакетов.
• При повторном тесте 43% выдуманных пакетов появились во всех 10 перезапусках одного и того же запроса, так что выдуманные имена могут быть предсказуемыми.

Это лабораторные измерения поведения моделей, а не подсчёт реальных атак, и результаты зависят от модели и запроса. Авторы также проверили меры защиты, такие как дополнение поиском, самоисправление и дообучение: они снижали галлюцинации, но их применяют разработчики моделей, и включить их в своём проекте нельзя.

Как проверить пакет перед установкой

Считайте каждую зависимость, добавленную ассистентом, непроверенной, пока сами не взглянули на неё. Спросите реестр до установки:

npm view some-package name version time.created repository.url maintainers
npm install --ignore-scripts some-package

Если npm view возвращает 404, имя свободно, а именно этого и ждёт слопсквоттер. Если пакет существует, проверьте, что он не совсем новый, что ссылка на репозиторий настоящая и ведёт на нужный проект, а у мейнтейнеров правдоподобный вид. Знакомое по звучанию имя ничего не доказывает.

Опция --ignore-scripts заставляет npm пропускать скрипты жизненного цикла из package.json, такие как postinstall, и закрывает самый частый способ выполнить код при установке. Вредоносный код при этом всё равно может запуститься позже, когда вы импортируете пакет, поэтому читать страницу пакета всё равно нужно. Для Python откройте страницу проекта на PyPI и проведите те же проверки.

Защита в проектах с ИИ

1. Проверяйте изменения зависимостей. Каждая новая строка в package.json или requirements.txt должна проходить ревью, а ассистенту нужно дать правило спрашивать перед добавлением. См. правила безопасности для ИИ-ассистента.
2. Используйте lock-файлы. Lock-файл фиксирует то, что вы уже проверили. Команда npm ci устанавливает по нему и завершается ошибкой, если он расходится с package.json.
3. Ограничьте ущерб. Запускайте установку от непривилегированного пользователя или в контейнере, чтобы вредоносному скрипту было мало до чего дотянуться. См. наименьшие привилегии и сдерживание.
4. Проверяйте, оценивайте, наблюдайте. Socket советует убеждаться, что пакет существует и легитимен, проверять необычные пакеты и скрипты установки и постоянно следить за зависимостями.
5. Ограничьте агентов. Агенту, который сам устанавливает пакеты, нужны чёткие рамки; см. руководство по безопасности ИИ-агентов.

Проверка зависимостей входит в чек-лист безопасности для вайб-кодинга.

Связанные термины: Вайб-кодинг, Промпт-инъекция, Наименьшие привилегии, Сдерживание (containment).