En el mundo del desarrollo de software, donde la automatización y la inteligencia artificial prometen revolucionar cada línea de código, una nueva amenaza ha comenzado a tomar forma. El nombre de esta ciberamenaza es tan curioso como inquietante: Slopsquatting. Y aunque aún suene extraño para muchos desarrolladores, este vector de ataque tiene el potencial de comprometer toda la cadena de suministro de software con un solo clic.
A diferencia de ataques conocidos como el typosquatting —que explotan errores tipográficos al escribir nombres de paquetes—, el Slopsquatting se apoya en una fuente completamente distinta: los errores de los propios modelos de lenguaje. Herramientas como GPT-4, CodeLlama o DeepSeek están diseñadas para ayudar a los desarrolladores a trabajar más rápido y con mayor precisión. Pero al generar sugerencias de código, a menudo “alucinan” nombres de bibliotecas o paquetes que suenan reales… pero que no existen.
El problema es que esos nombres ficticios, al ser tan convincentes, están siendo registrados por cibercriminales, que los llenan de malware y esperan a que algún desarrollador desprevenido —o una IA integrada en el entorno de desarrollo— los instale automáticamente. El resultado: una puerta trasera perfecta hacia el sistema.
¿Qué es exactamente el Slopsquatting?
El término Slopsquatting fue acuñado por Seth Larson, experto en seguridad de la Python Software Foundation, y hace referencia a un fenómeno muy específico: la suplantación de bibliotecas o paquetes de software generados por error —o “slop”— por modelos de lenguaje entrenados con grandes volúmenes de datos. A diferencia de las técnicas tradicionales de suplantación, en este caso no hay un error humano, sino una falla en el propio asistente de IA.
Esta amenaza se ha documentado con mayor profundidad en un reciente estudio publicado en arXiv.org, en el que se analizó el comportamiento de 16 modelos de lenguaje entrenados para generar código en Python y JavaScript. Los resultados son tan fascinantes como alarmantes.
La IA como cómplice involuntario
Según los investigadores, modelos como WizardCoder o DeepSeek tienen una alta tasa de alucinación: en más del 21% de las muestras generadas, los paquetes sugeridos eran inexistentes. El modelo CodeLlama fue el peor en este aspecto, con más del 33% de sus salidas proponiendo dependencias falsas. En comparación, modelos más robustos y comerciales como GPT-4 Turbo redujeron este margen al 3,6%, aunque sin eliminarlo por completo.
Pero lo más preocupante no es la cantidad de errores, sino su persistencia. En un experimento en el que se repitieron 500 solicitudes que habían generado paquetes inexistentes, casi la mitad volvieron a generar los mismos errores. Esto sugiere que no son alucinaciones aleatorias, sino patrones aprendidos por los modelos, lo que aumenta el riesgo de que estas dependencias ficticias se mantengan en el tiempo y se repliquen en múltiples proyectos.
Nombres falsos que no lo parecen
Uno de los hallazgos más importantes del estudio es que los nombres generados por la IA no parecen inventados. De hecho, un 38% de los paquetes falsos eran tan similares a bibliotecas reales que podrían pasar desapercibidos incluso para desarrolladores experimentados. Sólo un 13% de los errores eran fácilmente identificables como simples variaciones o faltas ortográficas.
Este nivel de sofisticación convierte al Slopsquatting en un arma perfecta para infiltrarse en entornos de desarrollo, ya sean de código abierto o empresariales. Al confiar ciegamente en la recomendación de una IA, los desarrolladores podrían estar integrando malware sin saberlo.
Así actúan los atacantes
La estrategia es sencilla pero efectiva. Los cibercriminales ejecutan modelos de IA populares para identificar qué paquetes ficticios se repiten con mayor frecuencia. Luego, registran esos nombres en repositorios como PyPI o npm, cargando bibliotecas que contienen código malicioso. La trampa queda tendida. Y si un desarrollador copia y pega una sugerencia del asistente de IA, o si un sistema automatizado instala esas dependencias, el atacante ya está dentro.
Las consecuencias pueden variar desde la filtración de datos sensibles, pasando por backdoors persistentes, hasta el control total del sistema comprometido. Este tipo de ataque forma parte del catálogo de riesgos identificados en el marco MITRE ATT&CK como T1195.001 – Compromise Software Dependencies and Development Tools.
