🇮🇹 Sintesi in Italiano

Gli sviluppatori stanno sempre più affidando il loro lavoro agli assistenti di codifica basati su intelligenza artificiale, una comodità che si è trasformata in un serio punto cieco per la sicurezza informatica. È nato così lo ‘slopsquatting’, un attacco sofisticato nella catena di fornitura software reso possibile dalle allucinazioni degli LLM (Large Language Model). Per capire l’imbroglio, bisogna prima comprendere il typosquatting tradizionale: i criminali creavano semplicemente nomi di pacchetti che assomigliavano a quelli esistenti. Slopsquatting va avanti di livello; sfrutta la tendenza degli AI a suggerire nomi di pacchetti ‘fantascientifici’ ma plausibili. Gli attaccanti, invece, si accorgono quali sono queste nomiate inventate dalle macchine e registrano dei pacchetti malintenzionati con questi nomi finti. In pratica, quando l’IA svela un nome che non esiste, gli hacker lo catturano per iniettarci dentro malware.

🇬🇧 Summary in English

Developers are increasingly relying on AI coding assistants, a convenience that has rapidly turned into a gaping security hole in the software supply chain. Enter ‘slopsquatting,’ an emerging and highly sophisticated threat enabled by the notorious hallucinations of Large Language Models (LLMs). The concept builds upon traditional typosquatting—where bad actors simply register misspellings of real libraries. Slopsquatting, however, is a whole other ball game. It exploits LLM’s tendency to hallucinate plausible-sounding but non-existent package names. Attackers monitor these fabricated suggestions and then rush to register malicious packages using those specific ‘slop’ names. Essentially, the moment an AI suggests a fake dependency name, hackers are there waiting to inject malware into it, making the attack appear legitimate.

Leggi l’articolo originale su VentureBeat →

Fonte: VentureBeat | Argomento: Software & Dev

#tecnologia #innovazione #technews