Slopsquatting
Slopsquatting bezeichnet das gezielte Registrieren nicht existierender Software-Paketnamen, die KI-Coding-Assistenten wiederholt erfinden, um Entwicklerinnen und Entwickler zur Installation manipulierter Abhängigkeiten zu verleiten.
Slopsquatting ist ein Supply-Chain-Angriff, bei dem Angreifer Paketnamen registrieren, die Sprachmodelle regelmäßig halluzinieren. Wer den Vorschlag ungeprüft installiert, holt sich Schadcode ins Projekt.
Erklärung
Sprachmodelle erfinden bei Code-Vorschlägen regelmäßig Bibliotheken, die es nicht gibt – und zwar erstaunlich konsistent: Dieselbe Frage erzeugt oft denselben Fantasienamen. Angreifer sammeln diese wiederkehrenden Halluzinationen, registrieren die Namen in öffentlichen Registries und hinterlegen Schadcode. Anders als beim klassischen Typosquatting ist kein Tippfehler nötig; der Angriffspfad führt über das Vertrauen in den Assistenten. Besonders wirksam ist der Angriff in agentischen Setups, in denen ein Coding-Agent Abhängigkeiten selbstständig installiert. Wirksame Gegenmittel sind Allowlists, Lockfiles, Registry-Proxys und ein Prüfschritt, der jede neue Abhängigkeit gegen bekannte Metadaten wie Alter, Downloads und Repository-Historie abgleicht.
Relevanz für Marketing
Marketing- und Produktteams betreiben zunehmend eigene Tools, Landingpages und Automationen mit KI-Unterstützung. Genau dort fehlt oft ein Security-Review – ein einziges kompromittiertes Paket kann Tracking-Daten, Leads oder Zugangsdaten abfließen lassen.
Beispiel
Ein Assistent schlägt für ein Analytics-Skript das Paket „consent-mode-helper“ vor. Es klingt plausibel, existiert aber erst seit zwei Tagen, hat keinen Repository-Link und exfiltriert nach der Installation Umgebungsvariablen an einen fremden Endpunkt.
Häufige Fallstricke
Der typische Fehler ist blindes Vertrauen in plausible Namen. Ebenso riskant sind Agenten mit Installationsrechten ohne Freigabeschritt: Sie führen den Angriff vollautomatisch und ohne menschliche Sichtprüfung aus.
Entstehung & Geschichte
Forschende dokumentierten 2024 und 2025, dass ein erheblicher Anteil KI-generierter Paketempfehlungen auf nicht existierende Bibliotheken verweist und dass diese Halluzinationen reproduzierbar sind. Daraus entstand 2025 der Begriff Slopsquatting in Anlehnung an Typosquatting. Mit der Verbreitung autonomer Coding-Agenten wurde das Thema 2026 zu einem Standardpunkt in Supply-Chain-Sicherheitsrichtlinien und in den Sicherheitsvorgaben großer Registries.
Anwendungsfälle im Marketing
Allowlist geprüfter Pakete für alle KI-gestützten Entwicklungsumgebungen im Unternehmen.
CI-Prüfung, die neue Abhängigkeiten nach Alter, Downloads und Repository-Historie bewertet.
Registry-Proxy, der Installationen aus öffentlichen Quellen zentral filtert und protokolliert.
Freigabeschritt für Coding-Agenten, bevor eine neue Abhängigkeit installiert werden darf.
Häufige Fragen
Worin unterscheidet sich Slopsquatting von Typosquatting?
Typosquatting setzt auf Vertipper der Nutzenden, Slopsquatting auf Halluzinationen des Modells. Der Name muss dem echten Paket nicht ähneln – er muss nur derjenige sein, den der Assistent zuverlässig erfindet. Dadurch schützt reine Aufmerksamkeit beim Tippen nicht mehr.
Sind agentische Entwicklungsumgebungen stärker betroffen?
Ja, deutlich. Wenn ein Agent Vorschläge nicht nur formuliert, sondern Abhängigkeiten auch selbst installiert, entfällt der menschliche Prüfschritt vollständig. Deshalb gehört ein Freigabemechanismus für Installationen zu den wichtigsten Schutzmaßnahmen in agentischen Setups.
Welche Prüfsignale sind am aussagekräftigsten?
Alter des Pakets, Download-Historie, vorhandener Repository-Link, Zahl der Maintainer und Übereinstimmung zwischen veröffentlichtem Code und Repository. Ein sehr junges Paket ohne Historie, das exakt zur Aufgabenstellung passt, ist ein starkes Warnsignal.
Verwandte Services
Tiefer einsteigen: Agentic AI Hub · Governance & Compliance