حزم يخترعها الذكاء الاصطناعي ويسجلها المهاجمون

اطلب من مساعد برمجة بالذكاء الاصطناعي حل مشكلة، وقد يطلب منك تثبيت حزمة يبدو اسمها مثاليًا لكنها غير موجودة. النموذج اخترع اسمًا معقولًا. ولاحظ الباحثون أن الأسماء المخترعة نفسها تتكرر مرة بعد مرة، فيسجلها المهاجمون على npm وPyPI وبداخلها كود خبيث. وصار للحيلة اسم: slopsquatting.

من يثبّتها يثق بالاقتراح لأنه جاء من أداة يستخدمها كل يوم.

• قبل تثبيت حزمة لم تسمع بها، افحصها في السجل: عمرها، وعدد تنزيلاتها، ومن يصونها، والمستودع المرتبط بها.
• اشكّ في الحزم التي أُنشئت في الأسابيع الأخيرة وتنزيلاتها قليلة.
• استخدم ملف قفل الاعتماديات، وراجع تغييراتها في طلبات الدمج، ومنها التي صنعها وكيل.
• إن كانت أداة الذكاء الاصطناعي تستطيع تشغيل npm install أو pip install وحدها، فاطلب موافقة على الحزم الجديدة.

المساعد سريع وواثق. لكنه لا يتحقق إن كانت الحزمة حقيقية. هذا دورك.