Forget typosquatting; slopsquatting is the software supply chain threat created by AI coding tools

본 기사는 AI 코딩 도구가 존재하지 않는 오픈소스 패키지명을 그럴듯하게 생성하는 LLM 환각이 새로운 공급망 공격인 slopsquatting으로 이어질 수 있다고 설명합니다. 공격자는 모델이 자주 만들어내는 가짜 패키지명을 패키지 저장소에 등록하고 악성 코드를 심어, 개발자가 AI 추천을 그대로 따를 때 코드베이스에 침투할 수 있습니다.

기존 typosquatting 방어는 오탈자·유사명 탐지에 초점이 맞춰져 있지만, slopsquatting은 인기 library의 변형이 아니라 모델이 새로 지어낸 이름을 악용해 대규모 차단이 어렵습니다. AI 생성 코드가 개발 workflow의 초기 단계로 들어오면서, 조직은 패키지 설치 전 검증, allowlist, SBOM, 내부 mirror 등 공급망 통제를 AI 도구 사용 정책과 함께 재설계해야 합니다.