Slopsquatting: AI verzint pakketten die aanvallers kunnen claimen
AI noemt soms een softwarepakket dat niet bestaat. Wie die naam als eerste registreert, bepaalt wat er op jouw machine draait.
Wat er gebeurde
AI-modellen raden vaak softwarepakketten aan die niet bestaan. Bar Lanyado, onderzoeker bij Lasso Security, zag meerdere modellen steeds pip install huggingface-cli voorstellen. De echte tool installeer je anders.
In december 2023 registreerde hij een leeg pakket met die naam op PyPI. In drie maanden kreeg het meer dan 15.000 echte downloads. In februari 2024 stond het in de installatie-instructies van GraphTranslator van Alibaba. Ook een project van Hugging Face zelf gebruikte het, tot hij ze waarschuwde.
Zijn pakket was onschuldig. Dat van een aanvaller zou dat niet zijn. Een wetenschappelijke studie mat het probleem daarna op grote schaal.
De oorzaak
Code van AI noemt een afhankelijkheid die niemand heeft gecontroleerd. Wie die naam het eerst registreert, bepaalt wat er draait.
De schade
Voor het testpakket: meer dan 15.000 downloads (The Register).
De studie: 576.000 stukken code van 16 modellen. Gemiddeld was minstens 5,2% van de pakketten van commerciële modellen verzonnen, en 21,7% bij open-source-modellen. In totaal 205.474 unieke verzonnen namen.
Wat beheer anders had gedaan
Controleer elke nieuwe afhankelijkheid voordat hij in het lock-bestand komt. Gebruik een pakketfirewall of een lijst met toegestane pakketten. Kijk naar de leeftijd en de eigenaar van een pakket.
Dat is klassiek beheerwerk, en precies het werk dat bij vibe coding wordt overgeslagen.
Beheer haalt niet elk risico weg. Het zorgt wel dat iemand kijkt voordat het misgaat, en dat er een back-up ligt als het toch gebeurt.