Slopsquatting: nova ameaça de segurança explora alucinações de IA
Cibercriminosos registram pacotes de software inexistentes sugeridos por IAs para injetar códigos maliciosos em projetos de desenvolvedores.
Pontos principais
- O slopsquatting combina a criação de pacotes fictícios por LLMs com técnicas de typosquatting para distribuir malware.
- Desenvolvedores que confiam cegamente em sugestões de assistentes de IA acabam instalando pacotes maliciosos em seus fluxos de trabalho.
- Modelos de linguagem de código aberto apresentam uma taxa de alucinação de pacotes quatro vezes maior que modelos proprietários.
- Especialistas recomendam a validação rigorosa de nomes de pacotes em registros oficiais antes da integração em qualquer projeto.
O avanço das ferramentas de codificação baseadas em IA trouxe um novo risco à cadeia de suprimentos de software: o slopsquatting. A prática ocorre quando modelos de linguagem alucinam nomes de pacotes inexistentes, que são posteriormente registrados por atacantes e preenchidos com código malicioso. Ao confiar nas sugestões automatizadas sem a devida verificação, desenvolvedores acabam incorporando essas ameaças diretamente em seus projetos. A vulnerabilidade é agravada pela crescente adoção do 'vibe coding' e pela dependência excessiva de assistentes de IA, que falham ao validar a existência real das bibliotecas sugeridas. Para mitigar o problema, especialistas em segurança cibernética recomendam a implementação de verificações automatizadas que cruzem os nomes dos pacotes com registros oficiais antes de qualquer instalação, garantindo que o código integrado seja legítimo e seguro para o ambiente de desenvolvimento.
Comentários
Carregando comentários...