pip install

AI助手“幻觉”出程序包名称，带来恶意软件风险

一款AI编码助手向工程师推荐了一个不存在的程序包名称，这种现象被称为“slopsquatting”（恶意注册空名称）。该工程师之所以险些安装恶意软件，是因为他们手动检查了该程序包的注册页面，注意到其缺乏历史记录和下载量。这种漏洞的产生是因为AI模型可能会“幻觉”出程序包名称，攻击者随后可以注册这些名称并植入恶意代码，从而绕过仅检查已知漏洞的传统依赖项扫描工具。