スロップスクワッティングとは？AIが「存在しないパッケージ名」を幻覚する新型サプライチェーン攻撃を解説
AIコーディング支援ツールが実在しないOSSパッケージ名を「幻覚（ハルシネーション）」で生成し、攻撃者がその名前を先回り登録してマルウェアを仕込む新手口「スロップスクワッティング」が広がっています。VentureBeatによれば幻覚率はモデルと手法次第で50〜82%に達し、オープンソースモデルはプロプライエタリモデルの約4倍も危険な名前を生成します。
#OSSセキュリティ の記事一覧（2）
Microsoftの GitHub リポジトリが侵害、Claude CodeやGeminiを使う開発者の認証情報を狙う『サプライチェーン攻撃』の構図
Microsoftは、自社が公開する少なくとも70の GitHub リポジトリにパスワード窃取マルウェアが混入したことを受け、該当プロジェクトへのアクセスを一時停止しました。標的は Azure 関連や Claude Code・Gemini CLI・VS Code といったAIコーディング環境で使われる開発者ツール群です。