SLOPSQUATTING
Definiție
Slopsquatting este un atac de securitate informatică născut din halucinațiile AI: modelele care generează cod recomandă uneori pachete software (biblioteci) cu nume inexistente, plauzibile dar inventate. Atacatorii identifică aceste nume halucinate recurent, publică sub ele pachete malițioase reale, iar dezvoltatorii care instalează orbește ce le-a recomandat AI-ul își aduc singuri malware-ul în sistem.
E evoluția AI a unui truc clasic („typosquatting”, pachete cu nume greșite de tastare), dar cu o întorsătură nouă: încrederea în recomandările mașinii. Cercetările pe modelele de cod au arătat că numele halucinate nu sunt aleatorii, ci se repetă predictibil, exact ce-i trebuie unui atacator ca să știe ce „locuri libere” să ocupe. Apărarea: verificarea existenței și reputației oricărui pachet înainte de instalare, liste interne de dependențe aprobate, scanare automată.
Relevanța pentru un birou financiar crește direct proporțional cu entuziasmul pentru vibe coding: contabilul care își construiește cu AI un script de procesare poate instala, la recomandarea aceluiași AI, pachetul-capcană care exfiltrează exact datele procesate. Regula minimă de igienă: uneltele construite intern cu AI nu rulează pe date reale înainte ca cineva competent să le verifice dependențele.
Exemple practice
- AI-ul recomandă în scriptul de reconciliere un pachet inexistent; peste o lună, numele e ocupat de un pachet malițios, iar scriptul „îmbunătățit” al colegului îl instalează fără verificare.
- Politica IT: dependențele scripturilor interne se verifică contra unei liste aprobate; pachetele noi trec printr-un control de proveniență de 10 minute, cost minuscul și risc major închis.
- Semnal de due diligence la furnizorii de automatizări: „cum vă protejați lanțul de dependențe împotriva pachetelor halucinate?”, iar întrebarea deosebește inginerii de entuziaști.
Întrebări frecvente
Cum mă protejez când instalez un pachet recomandat de AI?
Verifici înainte de instalare că pachetul există, că are istoric, autor cunoscut și utilizare reală, pe pagina oficială a depozitului de pachete. Un nume pe care nu îl găsești nicăieri în afara răspunsului AI e un semnal de oprire.
Prin ce diferă de typosquatting?
Typosquatting mizează pe greșeli de tastare, cu nume apropiate de cele reale. Slopsquatting mizează pe nume inventate de AI, care se repetă previzibil, deci atacatorul știe dinainte ce nume să ocupe.
Mă privește dacă scriu doar scripturi mici?
Da, poate chiar mai mult. Un script mic, construit cu AI și rulat pe date reale, poate instala la recomandarea aceluiași AI un pachet care trimite exact datele prelucrate în altă parte. Regula: dependențele se verifică înainte de prima rulare.