AI-kodningsverktyg skapar ny hotbild i mjukvaruleveranskedjan: slopsquatting
I takt med att AI-kodningsassistenter blir allt vanligare har ett nytt hot uppstått, 'slopsquatting'. Denna attack utnyttjar AI:s 'hallucinationer' för att injicera skadlig kod i programvaruleveranskedjan.
Slopsquatting, eller 'slopsquatting', är ett nytt hot mot mjukvaruleveranskedjan som möjliggörs av AI-kodningsverktyg. När utvecklare i allt högre grad förlitar sig på AI-assistenter ökar risken för att cyberkriminella får tillgång till deras programvara redan från start, genom att utnyttja AI:ns benägenhet att skapa fiktiva programpaket.
Dessa fiktiva paketnamn, som AI-modeller kan "hallucinera" fram, registreras sedan av angripare som sedan fyller dem med skadlig kod. När en utvecklare använder en AI-assistent som föreslår ett sådant paket, kan den skadliga koden oavsiktligt integreras i projektets kodbas. Detta skiljer sig från traditionell typosquatting, som bygger på enkla stavfel i domän- eller pakettnamn.
Risken förstärks av att AI-modeller ofta föreslår liknande, trovärdiga men inkorrekta paketnamn. Dessa "hallucinerade" paket identifieras inte automatiskt som hot av befintliga skyddsmekanismer som är utformade för att upptäcka enbart stavfel. Detta gör slopsquatting till en svårare och mer smygande attackvektor.
Forskning visar att antalet sårbarheter i öppen källkod växer snabbt. Dessutom tyder studier på att organiserade modeller för AI är mindre benägna att generera hallucinerade paket jämfört med öppen källkod-modeller. Utvecklare uppmanas därför att noggrant verifiera alla AI-genererade kodförslag för att förhindra att skadlig kod introduceras i deras system.