阿里云優惠券 先領券再下單0sK28資訊網——每日最新資訊28at.com

生成式 AI 正在深度改變軟件工程流程。Stack Overflow 2024 全球開發者調查顯示，76% 的受訪者已在或計劃在編碼過程中使用 AI 工具，而“AI 寫代碼”正逐步成為主流工作方式。在中國，這一趨勢同樣迅猛——《2024 中國開發者調查報告》指出，69% 的國內開發者已經在日常工作中使用 AI 工具。0sK28資訊網——每日最新資訊28at.com

幻覺依賴與“Slopsquatting”攻擊0sK28資訊網——每日最新資訊28at.com

美國三所高校在 2025 年聯合發布的研究顯示，開源大語言模型在生成代碼時，平均有 21.7% 的依賴包屬于“幻覺”——根本不存在于 npm 或 PyPI 倉庫；商業模型的這一比例也達到 5.2% 。攻擊者據此衍生出“Slopsquatting”——專門監控 AI 建議的虛構包名并搶注，再將惡意代碼植入。一旦開發者無條件接受助手推薦，就可能把木馬依賴自動寫進 CI/CD 流水線，惡意代碼隨之從開發環境一路擴散到生產系統。0sK28資訊網——每日最新資訊28at.com

2023 年底的 huggingface-cli 事件便是一記警鐘。該名稱本是 AI 助手反復生成的“幽靈依賴”，結果被研究人員注冊至 PyPI 后，在短短幾天內就被數千名開發者下載集成，所幸測試包并未植入惡意載荷。若換作真正黑客大規模運營，同樣的漏洞足以讓全球項目同時“中招”。0sK28資訊網——每日最新資訊28at.com

Check Point：“AI 對抗 AI”的供應鏈安全新思路0sK28資訊網——每日最新資訊28at.com

Check Point Research 指出，開發者依賴 AI 助手而形成的“信任真空”正被黑客利用。對此，Check Point 在過去幾年中不斷強調“AI 對抗 AI” 策略的重要性。Check Point用戶可利用 ThreatCloud AI 近百個算法引擎持續分析全球節點，一旦發現未知風險便即刻給出阻斷建議，阻止漏洞進入生產鏈路。對開發者而言，這意味著在不犧牲效率的前提下，把“人盲審”變成“AI 先驗 + 人復核”的雙保險。0sK28資訊網——每日最新資訊28at.com

行動建議0sK28資訊網——每日最新資訊28at.com

開發和安全團隊必須采取嚴格的實踐措施，以有效應對依賴管理漏洞。首先，對AI生成的建議保持懷疑態度——切勿盲目信任建議的依賴項。實施嚴格的驗證流程，手動驗證不熟悉的包名稱，并始終使用鎖定文件、固定版本和加密哈希驗證。此外，維護內部鏡像或可信包白名單可大幅降低受惡意新包影響的風險。研究人員測試了多種減少幻覺的方法，其中包括檢索增強生成（RAG）和監督式微調。雖然這些技術顯著減少了幻覺的發生率（最高可達85%），但它們也引入了一個關鍵的權衡，即對整體代碼質量產生不好的影響。這強調了需要全面的安全解決方案，能夠在不犧牲開發效率的情況下主動識別威脅。0sK28資訊網——每日最新資訊28at.com

結語0sK28資訊網——每日最新資訊28at.com

AI 編碼助手讓開發速度再攀高峰，也將供應鏈防護推入前所未有的“倍速時代”。當“幽靈依賴”成為新的攻擊入口，唯有用更智能、更主動的安全能力去匹配 AI 賦能的開發模式，才能守住軟件供應鏈的最后防線。0sK28資訊網——每日最新資訊28at.com

申請創業報道，分享創業好點子。點擊此處，共同探討創業新機遇！0sK28資訊網——每日最新資訊28at.com

本文鏈接：http://www.www897cc.com/showinfo-20-164272-0.htmlCheck Point：AI 代碼助手的“幽靈依賴”危機，全球開發者的共同考題

聲明：本網頁內容旨在傳播知識，若有侵權等問題請及時與本網聯系，我們將在第一時間刪除處理。郵件：2376512515@qq.com

上一篇： 從比特幣到CABA：下一個十年的技術革命，是數字生命

下一篇： 什么時候？國補結束了嗎？政策第二輪7月恢復，2025年國家補貼截止時間12月31日結束