# A40: Выдуманные AI зависимости и подмена пакетов (AI hallucinated dependency / slopsquatting)

> Модель может придумать несуществующий пакет. Злоумышленник способен создать пакет с таким именем и ждать, пока его установят. Так доверие к рекомендациям AI по установке превращается в компрометацию цепочки поставки ПО.

- Канонический HTML: [/threats/a40-ai-hallucinated-dependency-slopsquatting](https://ai-first.tech/threats/a40-ai-hallucinated-dependency-slopsquatting)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Безопасная разработка AI

## Как проявляется риск

Ассистент предлагает разработчику библиотеку, которой на момент ответа не существует. Позже в общедоступном хранилище появляется вредоносный пакет с похожим или тем же названием. Разработчик устанавливает его, полагаясь на подсказку. Граница доверия нарушается, когда рекомендация модели заменяет проверку происхождения компонента. Дальше пакет попадает в сборку и распространяется вместе с продуктом.

## Влияние на бизнес

- **Безопасность.** Посторонний код оказывается внутри продукта и среды сборки.
- **Операции.** Выявление и удаление скомпрометированной зависимости требует пересборки и повторной проверки выпусков.
- **Репутация.** Компрометация продукта через зависимость затрагивает его потребителей.

## Где риск наиболее вероятен

- Установка пакетов по подсказке AI-ассистента
- Агенты, самостоятельно добавляющие зависимости
- Сборка с прямым доступом к общедоступным хранилищам
- Прототипы без контроля состава ПО

## Кому и что решать

- **ИТ-директор.** Перевести разработку на внутренние хранилища пакетов с согласованным составом.
- **Директор по кибербезопасности.** Обеспечить проверку каждой новой зависимости и запрет установки по рекомендации AI без подтверждения.
- **Владелец бизнес-процесса.** Требовать от команд и подрядчиков перечень компонентов поставляемого продукта.

## Признаки для службы мониторинга

- В проект добавлен пакет без истории выпусков
- Название зависимости получено от AI и не проверялось
- Необычные закономерности установки пакетов в средах разработки
- Сборка обращается к общедоступному хранилищу в обход внутреннего
- Имя пакета почти совпадает с названием известной библиотеки

## Меры защиты

- **Правило проверки рекомендаций AI** (организационная). Запретить установку пакетов по подсказке ассистента без подтверждения их происхождения.
- **Внутренние хранилища пакетов** (техническая). Получать зависимости только из внутреннего хранилища, куда компоненты попадают после проверки.
- **Перечень разрешённых зависимостей** (техническая). Допускать в сборку только согласованные пакеты; новые проходят отдельное рассмотрение.
- **Анализ состава ПО** (техническая). Автоматически проверять зависимости при сборке и вести перечень компонентов продукта.
- **Контроль новых зависимостей** (мониторинг). Оповещать о появлении пакетов без истории и об обращениях к внешним хранилищам.

## Вопросы команде и поставщику

- Откуда наши сборки получают зависимости?
- Кто проверяет новый пакет перед первым использованием?
- Могут ли AI-агенты сами добавлять зависимости в проект?
- Есть ли у нас актуальный перечень компонентов каждого продукта?

## Показатели контроля

- Доля зависимостей, полученных из внутреннего хранилища
- Число новых пакетов, добавленных без проверки
- Доля продуктов с актуальным перечнем компонентов

## Первые 30 дней

- Проверить недавно добавленные зависимости на историю и происхождение
- Закрыть сборкам прямой доступ к общедоступным хранилищам
- Довести до разработчиков правило проверки пакетов, предложенных AI

## Классы решений

- Анализ состава ПО и перечень компонентов
- Безопасная разработка (DevSecOps)
- Защита AI-разработки

## Сопоставления

- OWASP: LLM05, LLM03
- MITRE: ATT&CK: Exploitation for Client Execution
- NIST: NIST SSDF

## Первоисточники

- [OWASP: LLM03:2025 Supply Chain](https://genai.owasp.org/llmrisk/llm032025-supply-chain/) — Цепочка поставки моделей, данных и зависимостей.
- [arXiv: Are AI-assisted Development Tools Immune to Prompt Injection?](https://arxiv.org/abs/2603.21642) — MCP/tool poisoning в AI development tools.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.