あなたのコードの下のレイヤー、つまりAIコーディングエージェントが提案する依存関係を標的とする新しいサプライチェーン攻撃クラスが登場しました。研究者たちはこれをスロップスクワッティングと呼んでいます。AIツールは、たとえ優れたものであっても、パッケージ名を幻覚するため、これは機能します。攻撃者はもはや実際のパッケージを侵害する必要はありません。彼らはモデルがパッケージ名を考案するのを待ち、考案された名前を公開レジストリに登録します。開発者がnpm installまたはpip installを実行すると、マルウェアが侵入します。この記事では、スロップスクワッティングとは何か、なぜタイポスクワッティングと異なるのか、2025年と2026年に記録されたインシデント、そしてこのスプリントでパイプラインに組み込むことができる実践的な防御スタックについて説明します。