AI绘画的爆火让大众看到了大模型在创意领域的魔力，但同一技术栈的另一面——AI编码助手，正在成为网络攻击的新型跳板。当开发者依赖ChatGPT、Copilot等工具生成代码时，一个名为“Slopsquatting”的供应链威胁已悄然成型。它利用大模型的幻觉特性，伪造软件包名，引诱开发者下载恶意代码。这不仅是技术漏洞，更是AI赛道日益拥挤下，企业数字化转型必须正视的隐忧。本文将拆解这一攻击的原理、数据与防御策略，帮助你在享受AI画图便利的同时，守住安全的底线。
什么是Slopsquatting？当AI幻觉变成特洛伊木马
Slopsquatting是一个合成词——由“AI Slop”（AI垃圾内容）和“Typosquatting”（打字劫持，即注册相似域名欺诈）组合而成。传统打字劫持靠的是用户手误：比如把“gogle.com”输错成“googel.com”，攻击者便趁机钓鱼。而Slopsquatting则更狡猾：它利用大语言模型（LLM）在生成代码时，凭空捏造出看似合理的软件包名称。
举个例子：开发者让AI助手安装一个用于环境变量设置的包，AI可能推荐“cross-env-extended”或“mpn install cross-env file”——这些名字听起来很像真实包“cross-env”，但根本不存在。攻击者一旦发现AI经常“幻想”出这些名字，就会抢先注册同名恶意包，并上传包含后门的代码。开发者只要运行`npm install`，恶意代码便自动进入项目。
这种攻击的核心在于LLM的“幻觉”（Hallucination）。大模型本质上是一个概率预测器，它追求统计上的最可能回答，而非事实准确性。当提问涉及冷门或模糊的依赖时，模型就会“编造”出貌似合理的包名。据研究，即使是最先进的GPT-4o，在不加干预的情况下，幻觉率仍高达23%。更可怕的是，这些幻觉并非随机——同一模型在相同语境下会稳定地重复生成同一批假包名，这为攻击者提供了精准的“狩猎清单”。
值得注意的是，AI绘画领域的扩散模型也类似：它们有时会生成不存在的物体或畸形结构。但在代码世界里，这种“幻觉”直接转化为可执行的威胁。目前，AI图片生成领域已有不少工具帮助用户识别AI生成的瑕疵，而代码供应链的检测工具却远远滞后。
从打字劫持到AI幻觉：供应链攻击的进化史
回顾软件供应链攻击的演变，你会发现威胁的复杂度在指数级增长。十年前，黑客主要靠“Typosquatting”：注册拼写近似的包名（如“crossenv”冒充“cross-env”）。对此，npm、PyPI等官方仓库已建立了防护机制——自动检查相似包名、加装验证码。
但AI的出现彻底改写了规则。它推荐的假包名不再是简单错拼，而是全新构造的词组。例如，模型可能生成“async-request-utils”这种听起来完全合规的名字，实则空穴来风。由于不存在“相似拼写”的比对对象，传统防护手段全部失效。更危险的是，攻击者无需大规模撒网——只要研究几个流行开源模型的幻觉模式，就能针对性注册几十个假包，覆盖大量开发者。
一个真实案例：某团队分析了31,267个漏洞，发现它们分布在14,675个包里，涉及10种编程语言。报告指出漏洞年增长率高达98%，远超开源包数量25%的年增速。这意味着，攻击者制造新漏洞的速度，比社区推出安全补丁快得多。同时，漏洞的平均存活时间也延长了85%——安全生态正在恶化。
从AI独角兽企业的融资热潮到中小开发者的日常，AI赛道的每一环都在加速采纳AI编码工具。有调查显示，超过40%的代码提交已包含AI辅助生成，这个比例预计在未来几年还会飙升。当“氛围编码”（Vibe Coding）成为主流——开发者不再逐行检查AI输出，而是享受“代码自动流出”的流畅体验——供应链的薄弱环节便被无限放大。
AI幻觉有多严重？数据揭示的惊人真相
为了量化Slopsquatting的实际风险，一个研究团队对30个不同的AI系统进行了576,000个代码样本测试，总共生成了223万个软件包名称。结果令人震惊：其中19.7%的包名属于幻觉——即凭空捏造，根本不存在于官方仓库。
不同模型的表现差异巨大。以GPT-4 Turbo为代表的闭源模型，幻觉率仅为3.59%；而表现最好的开源模型DeepSeek 1B，幻觉率高达13.63%，是前者的近4倍。这意味着，依赖开源LLM的团队，遭遇Slopsquatting攻击的风险大约是闭源用户的4倍。
但别以为闭源就绝对安全。攻击者一旦发现这个差距，会有意针对闭源模型设计对抗性提示，通过令牌级操纵或检索投毒，强制模型输出他们预设的恶意包名。换言之，安全的幻觉率只是一个动态平衡点——当模型试图降低错误率，攻击者就会寻找新的操控方式。
另一个可怕的事实：这些恶意包可以长期潜伏在生产环境中。因为包名并非明显的恶意（比如看起来就是正常的功能库），静态扫描工具很难检测。攻击者可以被动式地注入恶意代码，等待几个月甚至几年后发动攻击——比如在关键时刻泄露用户数据或关闭服务。对于持有高价值数据的AI独角兽企业来说，这种“定时炸弹”的威胁尤为致命。
哪些大模型最危险？闭源与开源的安全鸿沟
当前主流的AI编码助手包括GitHub Copilot（基于OpenAI）、Amazon CodeWhisperer、Google Gemini，以及开源社区的Code Llama、DeepSeek Coder、StarCoder等。判断哪个更安全，不能只看宣传中的“准确率”，而要看它在真实场景下产生幻觉包的频率。
前述研究提供了横向对比：在30轮测试中，闭源模型（GPT-4 Turbo）幻觉率平均为3.59%，而开源模型（DeepSeek 1B）为13.63%，其他开源模型如Code Llama 7B更是高达18%以上。差距非常明显。原因在于闭源模型通常经过更大量的安全对齐和人类反馈训练，并且其训练数据经过更严格的过滤。开源模型由于资源限制和社区贡献的多样性，容易出现更多“漏洞”。
但这一鸿沟可能被攻击者主动利用。例如，针对GPT-4，攻击者可以通过精心设计的前缀提示，诱导它推荐一个名为“fast-json-processor”的恶意包——因为该名称在训练数据中从未出现过，模型会无中生有。一旦攻击者注册了这个包，使用GPT-4的大量开发者同时被感染。从“幻觉”到“武器化”，只需一步登记操作。
在AI工具导航中，你可以找到许多辅助编码的安全插件，但是否有足够多的开发者主动配置这些呢？答案并不乐观。更值得关注的是，AI独角兽们正急于在AI赛道卡位，往往把速度置于安全之上。这种文化加剧了风险。
“氛围编码”正在放大威胁：开发者必须警惕什么
“氛围编码”是指开发者依赖AI生成大部分代码，自己只充当“审核者”甚至放任不管的工作模式。调查显示，72%尝试过AI编码的开发者如今每天都用，且超过40%的代码行直接源自AI输出。这个趋势在与日俱增。
当开发者不再逐行检查AI建议的依赖包，而是直接复制粘贴`pip install`或`npm install`命令时，Slopsquatting攻击便如入无人之境。更糟的是，许多现代开发环境会自动执行AI生成的安装指令，进一步增加了中招几率。
防止这种攻击其实并不复杂：每次安装开源包前，手动在官方仓库（如PyPI、npmjs.com）搜索包名，确认它真实存在、有历史版本和活跃维护。但“手动验证”与“AI自动化”天然矛盾——开发者使用AI正是为了省去这些操作。
我建议团队在CI/CD流程中加入专门的依赖验证步骤：对于AI生成的包名，设置“白名单”过滤，只有扫描通过且存在于预批准列表中的包才允许安装。同时，可以部署类似背景去除工具那样专注于“去除异常”的安全插件，实时监控代码仓库中异常依赖的引入。此外，利用AI工具导航中的安全工具分类，挑选适合自己技术栈的防御方案，是一种高效的管理方式。
从更宏观的视角看，AI绘画与AI编码共享同一技术底座——大模型。当人们惊叹于AI画图能生成媲美大师的画作时，也要意识到：同样的AI逻辑，可能正让公司的核心系统裸奔。安全从来不是锦上添花，而是生存的基本盘。
如何构建AI时代的供应链安全防线
Slopsquatting威胁的根源在于“信任泛滥”——开发者过度信任AI输出，而忽略了验证环节。要构建有效防线，需从三个层面入手：
第一，技术手段。 使用专门的依赖扫描工具，如Snyk、Dependabot，并开启对“高相似度但未匹配”包名的告警。对于AI推荐的任何`require()`或`import`语句，自动查询官方API确认存在性。
第二，流程规范。 禁止开发者在生产环境中直接使用AI生成的安装命令。所有依赖必须经过人工审核或自动化白名单匹配。考虑建立内部私有仓库，只允许使用经过安全验证的包镜像。
第三，意识教育。 团队需要理解Slopsquatting并非理论攻击——已有案例显示攻击者注册了“ai-tensorflow-utils”等常见幻觉包并成功感染项目。定期举办安全演练，让开发者亲自体验“看似无害的包名如何变成后门”。
在大模型训练层面，模型提供商也负有责任。他们可以通过对抗训练减少对虚假包名的生成，或在训练数据中注入更多“安全拒绝”样本。像Hugging Face社区已开始标注“已知幻觉包名”，但远未形成行业标准。
对于希望快速验证AI绘画工具或编码助手的用户，不妨先通过文生图平台测试模型的基础可靠性——一个连图片细节都编造的工具，很可能在代码层面也会编造。这种跨界思考有助于建立整体的安全警觉。
FAQ
Q1: 什么是Slopsquatting？它与AI绘画幻觉有何关联？
A1: Slopsquatting是一种利用大语言模型幻觉（生成虚假内容）来发动软件供应链攻击的手段。攻击者注册AI“编造”出的软件包名，并上传恶意代码。与AI绘画中模型生成不存在的物体类似，AI编码模型也会“幻想”不存在的依赖包，从而被利用。
Q2: Slopsquatting和传统打字劫持（Typosquatting）有什么区别？
A2: 传统打字劫持依赖用户拼写错误（如“gogle”冒充“google”），而Slopsquatting利用AI生成的全新、合理但虚假的包名（如“async-request-utils”）。前者易被正则规则检测，后者因无相似字符串匹配而极难防范，且可大规模精准投放。
Q3: 开发者如何快速防范Slopsquatting风险？
A3: 核心是“不信任，必验证”。每次使用AI推荐的安装命令前，手动在PyPI/npm等官方库搜索该包名；CI/CD中加入依赖真实性检查；使用专门的安全扫描工具。同时，团队应提升对AI幻觉的认知，避免不假思索地复制粘贴AI输出。
图像描述（image_prompt）
A tech-style illustration showing a human hand typing code on a laptop, while a translucent ghost-like package icon with a malware skull symbol emerges from the screen. In the background, AI neural network nodes connect to a package registry. The style is cyberpunk neon with blue and red lighting, representing the tension between AI convenience and security threat.