Slopsquatting : la menace cachée dans les outils de codage IA

Points clés

• Le slopsquatting est une attaque de la chaîne d'approvisionnement qui exploite les assistants de codage IA inventant de faux noms de packages logiciels, que les criminels enregistrent ensuite et remplissent de code malveillant.
• Une étude portant sur 576 000 exemples de code générés par IA a révélé que 19,7 % des packages logiciels recommandés par l'IA n'existaient pas.
• GPT-4o Turbo, le modèle d'OpenAI, a généré des hallucinations de faux noms de packages à un taux de 3,59 %, tandis que les modèles open-source ont atteint des taux supérieurs à 13 %.
• Les vulnérabilités logicielles signalées ont augmenté de 98 % annuellement dans les recherches récentes, près de quatre fois plus que la croissance annuelle de 25 % du nombre de packages open-source.
• Les développeurs peuvent réduire leur risque en vérifiant que chaque package recommandé par une IA existe réellement dans un registre officiel avant de l'installer.

Chaque fois qu'un développeur demande à un assistant de codage IA d'écrire un logiciel, l'IA peut recommander tranquillement un package, un ensemble de code pré-assemblé que d'autres programmeurs partagent gratuitement en ligne, qui n'existe simplement pas. L'IA l'a inventé. Cela semble inoffensif jusqu'à ce que vous découvriez que les criminels guettent exactement cela.

L'attaque s'appelle slopsquatting. Le nom fusionne « AI slop », l'argot Internet pour les résultats IA de mauvaise qualité, avec « typosquatting », une vieille astuce où les criminels enregistrent des noms de sites Web ou de packages qui ressemblent aux vrais mais contiennent une faute d'orthographe délibérée. Le slopsquatting va plus loin : le faux nom n'a jamais été une faute d'orthographe de quoi que ce soit. L'IA l'a créé de toutes pièces.

Voici comment cela se déroule. Un développeur demande à son assistant IA, disons GitHub Copilot ou ChatGPT, d'ajouter une fonctionnalité à son application. L'IA écrit du code fonctionnel qui importe un package appelé quelque chose comme « cross-env-extended ». Le développeur l'exécute. Son ordinateur récupère ce package sur Internet et l'installe. Si un criminel a enregistré ce nom en premier et l'a chargé de malveillance, le développeur vient de remettre les clés.

Les défenses qui existent aujourd'hui ne couvrent pas cela. Les registres de packages, les bibliothèques en ligne où les développeurs téléchargent du code, bloquent déjà les fautes de frappe évidentes des packages populaires. Ils détecteraient « crossenv » comme une fausse version de « cross-env ». Ils n'ont aucun moyen de signaler « cross-env-extended » car le nom semble parfaitement légitime.

L'ampleur du problème est préoccupante. Une étude citée par VentureBeat a analysé près de 576 000 exemples de code générés par IA et a constaté qu'environ un cinquième des noms de packages recommandés par l'IA étaient des fabrications. Même GPT-4o, le modèle phare actuel d'OpenAI, a recommandé des noms de packages hallucinés à un taux de 3,59 % dans ces tests. Les modèles open-source se sont avérés moins performants : DeepSeek 1B, le meilleur modèle open-source testé, a toujours atteint 13,63 %, ce qui rend les outils IA open-source environ quatre fois plus risqués sur cette mesure.

Les hallucinations ne sont pas aléatoires, ce qui les rend dangereuses. Les modèles ont tendance à inventer les mêmes faux noms à plusieurs reprises. Un criminel qui cartographie les noms qu'un modèle populaire privilégie peut enregistrer une poignée de packages et attendre que des milliers de développeurs les installent automatiquement.

Que devraient faire les développeurs ?

L'étape la plus simple est aussi la plus efficace : avant que votre projet n'installe un package recommandé par une IA, cherchez-le vous-même dans le registre officiel, comme npmjs.com pour JavaScript ou PyPI pour Python. S'il n'y est pas, ne l'utilisez pas.

Les équipes peuvent aller plus loin en mettant en place des contrôles automatisés, des scripts qui comparent chaque nom de package d'un projet par rapport au registre officiel avant que le code ne soit déployé. Les équipes de sécurité doivent également suivre les campagnes de slopsquatting connues de la même manière qu'elles suivent les tendances du phishing.

Plus de 40 % du code que les développeurs valident aujourd'hui inclut déjà une assistance IA, et cette part augmente. Plus l'IA écrit de code sans révision humaine, plus la brèche s'élargit. La solution n'est pas d'arrêter d'utiliser les outils IA. C'est de traiter leur résultat comme une première version qui a encore besoin d'une vérification élémentaire.

Une phrase de vérification peut fermer une porte que les criminels poussent activement.