AI coding toolが生む新型供給鎖攻撃「slopsquatting」

何が起きたか

AI coding assistantが架空のソフトウェアパッケージ名を生成する仕組みを悪用する「slopsquatting」という新しい攻撃手法が発見された。脅威行為者がこれらの偽のパッケージ名を登録して悪意あるコードを仕込み、開発者がAIが提案したコードに従って知らずにインストールしている。

注目点

AI支援コーディングが標準的な慣行になるにつれ、リスクが拡大する。開発者はLLMが架空のオープンソースパッケージを生成できることを認識し、脅威行為者がこれらを悪用する可能性があることに注意すべき。