Yapay zeka tabanlı kodlama asistanlarının yaygınlaşmasıyla birlikte, slopsquatting adı verilen yeni bir yazılım tedarik zinciri saldırı türü ortaya çıktı. Bu yöntem, büyük dil modellerinin (LLM) gerçekte var olmayan yazılım paket isimleri üretme eğilimini, yani halüsinasyonlarını kullanarak geliştiricileri hedef alıyor.

AI Halüsinasyonları Nasıl Silaha Dönüştürülüyor?

Slopsquatting, 'AI slop' ve geleneksel 'typosquatting' kavramlarının birleşimiyle tanımlanıyor. Geleneksel yöntemlerde saldırganlar, popüler alan adlarının veya paketlerin hatalı yazılmış versiyonlarını tescil ederek kullanıcıları kandırıyordu. Ancak yeni tehdit modelinde, yapay zeka tamamen uydurma ancak kulağa mantıklı gelen paket isimleri öneriyor. Siber saldırganlar, yapay zekanın hangi hayali paket isimlerini uydurduğunu tespit ederek bu isimlerle kötü amaçlı yazılım içeren paketler oluşturuyor.

Mevcut Güvenlik Önlemleri Yetersiz Kalıyor

Yazılım kayıt sistemleri, 'cross-env' yerine 'crossenv' gibi basit yazım hatalarına karşı koruma mekanizmaları geliştirmiş durumda. Fakat yapay zekanın önerdiği 'cross-env-extended' gibi tamamen uydurma ama bağlama uygun isimler, mevcut güvenlik filtreleri tarafından bir tehdit olarak algılanmıyor. Geliştiriciler, kodlama asistanlarının önerdiği bağımlılıklara güvendikleri için bu zararlı paketleri fark etmeden doğrudan kendi kod tabanlarına entegre ediyorlar.

Yazılım Güvenliğinde Korkutan Artış

Yürütülen bir araştırma, 10 farklı programlama dilindeki 14 bin 675 pakete ait 31 bin 267 güvenlik açığını inceledi. Verilere göre, bildirilen güvenlik açıkları yıllık yüzde 98 oranında artarken, açık kaynaklı yazılım paketlerinin sayısı yıllık yüzde 25 oranında artıyor. Ayrıca güvenlik açıklarının ortalama yaşam süresinin yüzde 85 oranında uzadığı gözlemlendi; bu durum, zararlı paketlerin üretim ortamlarında aylarca hatta yıllarca fark edilmeden kalabileceği anlamına geliyor.