スロップスクワッティングとは
スロップスクワッティングとは、AIが実在しないソフトウェア部品の名前を答えてしまうクセを悪用した攻撃です。プログラム開発では、よく使う機能を部品（パッケージ）として名前で指定し、外部の保管庫から取り寄せます。AIが出した「ありそうな偽名」を攻撃者が先に登録しておくと、開発者が偽の部品を取り込む危険が生まれます。
英語表記：Slopsquatting
タイポスクワッティングとの違い
タイポスクワッティングは、人間の打ち間違いを狙う攻撃です。スロップスクワッティングは、人間の誤字ではなく、AIの作り話を入口にします。この現象はpackage hallucination（パッケージ名の幻覚）とも呼ばれます。AI生成コードを確認せず使うほど、偽物を取り寄せる余地が広がる点が問題です。
TopicAIが作る「ありそうな名前」が攻撃面になる
関連研究は、コードを書くAIが実在しないパッケージ名を提案する現象を分析しています。攻撃者がその名前を保管庫に登録しておくと、開発者はAIの答えを信じて偽の部品を取り寄せてしまいます。つまり、人間の誤字ではなく、AIのもっともらしい作り話がサプライチェーン攻撃の入口になるわけです。
スロップスクワッティングに関するよくある質問
- スロップスクワッティングは誰に関係しますか？
- 主にAIでコードを書く開発者や、AI生成コードを業務システムに取り込む企業に関係します。AIが提案した部品名（パッケージ名）を確認せず取り込むとリスクになります。
- スロップスクワッティングを防ぐ基本は何ですか？
- AIが出したパッケージ名を公式の保管庫、公開元、利用実績で確認することです。生成コードをそのまま実行せず、外部部品のレビューを必ず入れるべきです。
