AIが挙げた架空のパッケージ名を攻撃者が先に登録する slopsquatting

3行まとめ

• AIエージェントが、実在しないパッケージパッケージ他人が書いたプログラムの部品。名前を指定して自分のコードに取り込みます用語集でこの語を見る名をもっともらしい形で答えました
• 攻撃者はその架空の名前で本物のパッケージを登録し、開発者が入れるのを待ちます
• GitHubで公開日とダウンロード数を見た技術者が気づき、導入の前に止めました

何が起きたか

ソフトウェア開発会社 Softjourn の技術者が、よくある処理に使う部品をAIエージェントに尋ねました。返ってきたのは、見慣れたライブラリと同じ形の、それらしい名前でした。多くの職場なら、ここで入れて話は終わりです。

同社にはAIの推薦を必ず裏取りする方針があり、技術者はGitHubでソースコードに目を通しました。ダウンロード数はごくわずかで、作られたのは数日前。それで手が止まりました。

推薦されたのはマルウェアのパッケージでした。AIが作り出したパッケージ名を突く手口が広がっている、と同社の Sergiy Fitsak は説明します。研究者はこれを slopsquattingslopsquattingAIが作り出した架空のパッケージ名を、攻撃者が先に登録して待つ手口。研究者がこう呼び始めました用語集でこの語を見る と呼び始めました。

なぜ難しい・何がすごいか

架空だったはずの名前が、攻撃者の登録によって実在します。インストールは通り、エラーも出ません。打ち間違えたときのような「そんなパッケージは無い」という反応が返ってこないので、AIの幻覚を疑うきっかけが消えます。

Fitsak は、攻撃者が締切に追われた開発者の行動に賭けていると説明しています。先に入れて、確認は後回しにする。その順番が狙われます。

パッケージ管理の仕組みは、指定された名前を解決できるかまでを見ます。その名前を誰がなぜ挙げたのかは見ません。AIの出力と実在の確認は別の作業であり、その間を埋めるのは人の手続きになります。

たとえ話

知らない土地で、店の名前を人に尋ねたとしましょう。教わったのは、実際には無い店名です。ところが行ってみると、その名前の看板が立っています。

中身が空でも、看板は本物に見えます。手がかりは、いつ建ったのかと、客が入っているのかだけ。名前を教えてくれた相手に聞き直しても、答えは変わりません。

用語ミニ辞典

• slopsquatting: AIが作り出した架空のパッケージ名を、攻撃者が先に登録して待つ手口。研究者がこう呼び始めました
• パッケージ: 他人が書いたプログラムの部品。名前を指定して自分のコードに取り込みます
• ハルシネーション（幻覚）: AIが事実でない内容を、もっともらしい形で出力すること
• サプライチェーン攻撃: 取り込む部品の側に仕込み、それを使う組織に入り込む攻撃

技術者向けの深掘り

今回止まった理由は、社内に定められた方針でした。AIの推薦は必ず裏取りする、という内容です。確認したのは2点、GitHub 上のソースコードと、公開日およびダウンロード数。

どちらも数分で終わります。Fitsak はこう述べています。

数分余計にかかるだけです。それを一度飛ばしたチームが、期限内に機能を出す代わりに、サプライチェーンの侵害について説明する側に回ります。

依存関係の入り口が人の検索からAIの提案に移った分だけ、名前を検証する場所も移りました。何が仕込まれていたかは公表されていません。バックドアを開けたり、データを持ち出したりに使われうるものだった、という程度までが分かっていることです。

これは自分に関係ある？

• 開発をしない人: AIが挙げた固有名詞は、実在の確認まで済ませて初めて使えます。パッケージ名は、その確認が抜けたときの被害が大きい例です
• コードを書く人: AIが答えた名前を取り込む前に、公開日とダウンロード数を見る。今回はその手が効きました
• チームを預かる人: 同じ確認を個人の注意力に任せると、締切のある日に抜けます。方針として書き、守られているかを見る。そこが今回の分かれ目でした