Slopsquatting: AIがPythonパッケージを捏造する時

AIが生成した架空のPythonパッケージ名が悪意のあるマルウェアに悪用される「スロップスカッティング」という攻撃手法について解説する。Anthropicの事例や、AI生成コードのセキュリティリスクと対策に触れている。

• AIモデルが生成するパッケージ名が悪用され、PythonパッケージングシステムPyPIにマルウェアが紛れ込む「スロップスロッティング」という攻撃が確認されている。
• 5つの先進AIモデルを調査した結果、127個の同一のパッケージ名がAIによって生成され、そのうち53個が未登録であった。
• AIが生成したパッケージ名を悪用する攻撃者は、開発者がAIの提案をそのまま利用する傾向に乗じて、マルウェアを配布できる。
• この問題は、AIによるコード生成の信頼性に対する懸念を高めている。