Каждый пятый программный пакет, который языковые модели настойчиво советуют подключить в проект, никогда не публиковался в официальных репозиториях. Стремление ИИ-ассистентов во что бы то ни стало дать готовый ответ привело к появлению нового вектора supply-chain угроз — Slopsquatting (слопсквоттинг).
В чем суть угрозы
Термин, введенный весной 2025 года специалистом по безопасности Python Software Foundation Сетом Ларсоном, описывает простую схему: злоумышленники заранее регистрируют в PyPI, npm или других реестрах те названия библиотек, которые нейросети чаще всего выдумывают в ответах программистам.
Когда разработчик в процессе «вайб-кодинга» копирует предложенные моделью инструкции вроде pip install или npm install, он скачивает не проверенную временем библиотеку, а чужой пакет-пустышку или вредоносный код, внедренный автором перехваченного имени.
Масштабы проблемы: данные USENIX Security 2025
Исследователи протестировали 16 популярных генеративных моделей (включая ветки GPT-4, DeepSeek и CodeLlama) на полумиллионе примеров кода на Python и JavaScript. Результаты академического отчета показали пугающие масштабы:
| Метрика | Значение |
|---|---|
| Средняя доля вымышленных библиотек среди рекомендаций | 19,7% |
| Доля галлюцинаций у Open-Source моделей | 21,7% |
| Доля галлюцинаций у коммерческих сервисов | 5,2% |
| Худший результат (семейство CodeLlama) | более 33% |
| Лучший результат (GPT-4 Turbo) | 3,59% |
| Суммарное число уникальных несуществующих имен | более 205 000 |
Главная опасность заключается в повторяемости ошибок. Исследование показало, что в 43% случаев модель выдает одну и ту же вымышленную библиотеку при каждом из 10 повторных запросов на одну тему. При этом около 81% придуманных названий уникальны для конкретной модели. Злоумышленнику достаточно автоматизировать сбор повторяющихся галлюцинаций одного популярного ИИ-инструмента, чтобы собрать базу для перехвата.
От теории к практике
Механика работала на практике еще до появления официального термина. В 2023 году исследователь Бар Ланьядо обратил внимание, что модели регулярно предлагают скачать несуществующий пакет huggingface-cli (оригинальная утилита ставится флагом через huggingface_hub[cli]). Зарегистрированная им безвредная заглушка набрала более 30 тысяч скачиваний за квартал и даже проникла в официальные инструкции внешних проектов.
Аналогичные результаты дает тестирование актуальных версий ChatGPT, Claude, Gemini и DeepSeek на узкоспециализированных задачах: ассистенты уверенно рекомендуют установку фантомных утилит (вроде colourscie или cie-lch-utils), генерируя подробные примеры использования для пакетов, которых не существует в PyPI.
Эффект замкнутого круга
Специалисты по ИБ отмечают фундаментальную проблему слопсквоттинга: атака способна поддерживать сама себя с течением времени. Выдуманные модели импорты попадают в открытые репозитории, технические блоги и скрипты сборки. На этих открытых источниках в дальнейшем обучаются следующие поколения LLM, что лишь сильнее укрепляет вероятностную модель в мысли, будто несуществующий пакет реален.
Как минимизировать риски
Для предотвращения заражения сборочных конвейеров командам рекомендуется пересмотреть подход к интеграции ИИ в рабочий процесс:
- Принцип нулевого доверия: ручной аудит любого импорта, предложенного нейросетью. Наличие репозитория на GitHub, дата регистрации и статистика загрузок в PyPI/npm должны проверяться до запуска команды установки.
- Ограничения в системных промптах: прямой запрет ассистенту придумывать внешние модули. Модель должна предлагать чистую реализацию на стандартной библиотеке языка, если не уверена в точной зависимости.
- Инструменты верификации: подключение поисковых агентов и MCP-инструментов, проверяющих реестры пакетов до выдачи финального кода пользователю.