סלופסקווטינג (Slopsquatting)

סלופסקווטינג: טיפוסקווטינג שמתבסס על טעות של AI

סלופסקווטינג (Slopsquatting) הוא רישום חבילת תוכנה זדונית תחת שם שמודל-AI נוהג 'להזות' — כלומר להמליץ עליו כאילו הוא קיים, בלי שהוא קיים באמת — כך שמי שמדביק את ההמלצה בלי לבדוק אותה מתקין בפועל את חבילת התוקף. השם הוא הכלאה בין 'AI slop' (תוצר-AI זול וחסר בדיקה) לבין טיפוסקווטינג (Typosquatting), השם המוכר לרישום שם תחום או שם חבילה שדומה לשם אמיתי בטעות הקלדה. ההבדל המהותי: טיפוסקווטינג קלאסי מנצל טעות הקלדה של בן-אדם; סלופסקווטינג מנצל טעות של מודל שפה עצמו. את המונח טבע סת' לרסון (Seth Larson), מפתח תושב בקרן התוכנה פייתון (Python Software Foundation) וחוקר אבטחה, באפריל 2025, והוא הופץ בפומבי על-ידי אנדרו נסביט (Andrew Nesbitt), יוצר הפרויקט Ecosyste.ms. המונח 'AI slop' מתייחס לתוכן גנרי וחסר בדיקה שמודלי-AI מייצרים בכמויות; סלופסקווטינג הוא הגרסה הממוקדת שלו בעולם הקוד — הזיה שמישהו אחר יכול לנצל.

ההדגמה המוקדמת: בר לניאדו וחבילת huggingface-cli

כשנתיים לפני שהתופעה קיבלה שם, חוקר האבטחה בר לניאדו (Bar Lanyado) תיאר אותה בפועל. ב-2023, בעבודתו אז בחברת Vulcan Cyber, הוא חקר את מה שכינה 'הזיית חבילות AI' (AI Package Hallucination). במחקר ההמשך, כחוקר אבטחה בחברת Lasso Security הישראלית, הבחין שמודלי שפה ממליצים על פקודת ההתקנה pip install huggingface-cli — שם חבילה שלא היה קיים; הפקודה האמיתית, לפי The Register, היא pip install -U "huggingface_hub[cli]". בדצמבר 2023, לפי The Register, העלה לניאדו למאגר החבילות PyPI חבילה ריקה ולא מזיקה תחת אותו שם מומלץ שגוי, ופרסם את התוצאות בבלוג של Lasso Security ב-28.3.2024: בתוך שלושה חודשים, לדבריו, החבילה הריקה קיבלה יותר מ-30 אלף הורדות אמיתיות, והמספר עוד עלה. (The Register, שדיווח על הניסוי באותו יום, מסר על יותר מ-15 אלף הורדות.) לפי אותו פוסט, הוראות התקנה שמפנות לשם החבילה המומלץ והלא קיים אפילו הופיעו בקובץ-ה-README של מאגר מחקר של Alibaba (לפי The Register, הפרויקט GraphTranslator), ולדבריו 'כמה חברות גדולות' משתמשות בשם הזה או ממליצות עליו ברפוזיטוריז שלהן. כדי להבחין בין הורדות אנושיות לבין סקריפטים אוטומטיים שסורקים חבילות באופן גורף, לניאדו העלה גם חבילה שנייה תחת שם אקראי ובדוי, 'blabladsa123', כבסיס השוואה.

המבחן של לניאדו: כמה מודלים 'מזים' חבילות

לניאדו בדק ארבעה מודלים — GPT-4, ‏GPT-3.5-Turbo, ‏Gemini Pro (Bard) ו-Coral של Cohere. הוא אסף 2,500 שאלות בלמעלה מ-100 נושאים ובחמש שפות תכנות (Python, ‏Node.js, ‏Go, ‏.NET ו-Ruby), ובסך הכול, לדבריו, 47,803 שאלות מהצורה 'איך עושים'. לפי התוצאות שפרסם, GPT-4 הזה ב-24.2% מהתשובות, GPT-3.5-Turbo ב-22.2%, Cohere ב-29.1%, וג'מיני ב-64.5% — השיעור הגבוה ביותר מבין הארבעה. הוא מדד גם 'שיעור חזרתיות' (הוא בחר 20 שאלות שהניבו חבילה מומצאת, ושאל כל אחת מהן 100 פעם בכל מודל, כדי לראות אם אותה חבילה חוזרת): 19.6% ב-GPT-4, 13.6% ב-GPT-3.5-Turbo, 14% בג'מיני, ו-24.2% בקוהיר. 215 שמות חבילה הזויים הופיעו בחפיפה בין כל המודלים גם יחד.

המחקר האקדמי: 19.7% מההמלצות לא התקיימו בפועל

מחקר אקדמי מקיף על התופעה פורסם ב-arXiv ב-12.6.2024 תחת הכותרת 'We Have a Package for You!', מאת ג'וזף ספראקלן ועמיתים. לפי המאמר, הצוות משתייך לאוניברסיטת טקסס בסן-אנטוניו, למכון הטכנולוגיה של וירג'יניה ולאוניברסיטת אוקלהומה. החוקרים הפעילו 16 מודלי שפה מובילים ליצירת קוד על שני מערכי פרומפט, וקיבלו 576,000 דוגמאות קוד ב-Python וב-JavaScript. מתוכן, לפי המאמר עצמו, 440,445 דוגמאות — 19.7% — הומלצו עם שם חבילה שלא קיים בפועל, וביניהן 205,474 שמות חבילה הזויים ייחודיים. הפער בין סוגי המודלים היה גדול: שיעור ההזיה הממוצע עמד על 21.7% במודלים בקוד פתוח, לעומת 5.2% בלבד במודלים מסחריים סגורים; המודל עם השיעור הנמוך ביותר בכל המבחן היה GPT-4 Turbo, ב-3.59%.

למה זה מתחבר ל'וייב-קודינג'

סלופסקווטינג הפך לרלוונטי במיוחד עם התפוצה של וייב קודינג — כתיבת תוכנה על-ידי תיאור בשפה טבעית למודל-AI, במקום בדיקה שורה-שורה. פרוס אבוחדיג'ה (Feross Aboukhadijeh), מנכ"ל חברת האבטחה Socket, מזהיר, לפי ויקיפדיה, שמי שעובד בשיטת וייב קודינג חשוף לזה בשתי דרכים: הוא עשוי להדביק קוד שלא קרא, או לתת לעוזר-ה-AI להתקין בעצמו את החבילה המומלצת בלי אישור אנושי כלל. סוג הנזק שהתופעה מאפשרת שייך למשפחה הרחבה יותר של סיכון שרשרת אספקה של AI: תלות בקוד או בשם חבילה שאף אדם לא בדק מעולם, ולא רק בספק התוכנה שנבחר במפורש.

המצב בפועל: סיכון מתועד, לא עוד התקפה מתועדת

עד יולי 2026, לפי ויקיפדיה, לא דווח על מקרה אמיתי שבו תוקף ניצל סלופסקווטינג בפועל כדי להדביק משתמשים — ההדגמות הקיימות, כמו זו של לניאדו, הן כולן ניסויים שנועדו להראות שהסיכון אפשרי, לא תקריות אמת. עם זאת, הנתון מהמחקר האקדמי — כאחת מכל חמש המלצות חבילה שלא קיימת בפועל — הופך את זה לסיכון ריאלי ולא תיאורטי בלבד: Socket, חברה שמוכרת כלי כזה בעצמה, ממליצה לעקוב אחרי כל תלות בפרויקט ולהשתמש בכלים שבודקים חבילה לפני שהיא נוספת — ולא להניח שקוד שנוצר על-ידי AI בטוח להרצה בלי בדיקה. ככל שיותר צוותי פיתוח מאמצים כתיבת קוד בעזרת-AI כחלק משגרת העבודה, כך גדל גם מספר ההזדמנויות שבהן המלצת חבילה מומצאת עוברת מהצ'אט אל שורת הפקודה בלי עין אנושית שתבדוק אותה.