スロップスクワッティング とは？

AIコーディングツールが架空のパッケージ名を推薦して、攻撃者がそのパッケージを先に登録しておく攻撃手法だよ。「slop（粗悪なAI生成物）」と「squatting（先取り占拠）」を組み合わせた造語だね。

AIはハルシネーションで「実在しないけどありそうなパッケージ名」を自信満々に推薦してしまうことがあるんだ。調査では、AIが推薦したパッケージの約20%が架空だったっていう結果もあるよ。

開発者がAIの提案通りにnpm installやpip installを実行すると、攻撃者が作った悪意あるパッケージがインストールされてしまうんだ。マルウェアや情報を盗むコードが仕込まれていることもあるよ。

AIが推薦したパッケージは必ず公式リポジトリ（npmやPyPI）で実在確認してからインストールするのが基本だよ。サプライチェーン攻撃の新しい形として、AI時代のセキュリティ意識として覚えておいてね。