Slopsquatting

Tecnica di attacco alle dipendenze software: un pacchetto falso usa un nome che i modelli AI tendono ad allucinare nei suggerimenti di codice.

L'attaccante registra su un registry un nome di libreria inesistente ma plausibile. Quando un modello suggerisce quel pacchetto per errore, uno sviluppatore può copiarlo, installarlo e importare codice malevolo nel progetto. Il rischio nasce dall'unione tra package hallucination e fiducia eccessiva negli assistenti di coding. I controlli efficaci includono verifica dei pacchetti, lockfile, review delle dipendenze e ambienti isolati.