AI生成的软件包构成安全威胁

安全专家Bar Lanyado最近进行了一项研究，探讨生成式AI模型如何无意中在软件开发领域造成巨大的潜在安全威胁。Lanyado的研究发现了一个令人担忧的趋势：AI建议虚构的软件包，而开发人员甚至在没有意识到的情况下将其包含在他们的代码库中。

问题揭露

现在的问题是，生成的解决方案是一个虚构的名称——这是AI的典型特征。然而，这些虚构的软件包名称随后被自信地推荐给那些在使用AI模型编程方面存在困难的开发人员。事实上，一些发明的软件包名称部分基于人名（如Lanyado），有些甚至将其变成了真实的软件包。这反过来导致在真实且合法的软件项目中意外包含了潜在的恶意代码。

受影响的企业之一是科技行业的主要参与者阿里巴巴。在GraphTranslator的安装说明中，Lanyado发现阿里巴巴包含了一个名为“huggingface-cli”的伪造软件包。事实上，Python Package Index (PyPI) 上确实存在一个同名真实软件包，但阿里巴巴的指南指的是Lanyado创建的那个。

测试持久性

Lanyado的研究旨在评估这些AI生成的软件包名称的持久性和潜在利用性。在此意义上，LQuery针对不同的AI模型进行了编程挑战测试，并在不同语言之间进行比较，以了解这些虚构名称是否被系统性地推荐。该实验清楚地表明，有害实体可能滥用AI生成的软件包名称来分发恶意软件的风险存在。

这些结果具有深远的影响。不良行为者可能会利用开发人员对接收到的建议的盲目信任，开始以虚假身份发布有害软件包。随着AI模型持续推荐虚构的软件包名称，风险随之增加，这些名称会被不知情的开发人员作为恶意软件包含在内。**前进之路**

因此，随着AI进一步融入软件开发，如果与AI生成的建议相关联，可能需要修复漏洞。在这种情况下，必须履行尽职调查，以确保建议集成的软件包是合法的。此外，托管软件存储库的平台应建立验证机制，确保足够强大，以防止分发任何恶意代码。

人工智能与软件开发的交汇揭示了一个令人担忧的安全威胁。此外，AI 模型可能会导致意外推荐虚假软件包，这对软件项目的完整性构成了巨大风险。阿里巴巴在其指令中包含了一个本不该存在的框，这恰恰证明了当人们机械地遵循建议时，这些可能性是如何实际发生的 

由 AI 给出的。未来，必须采取主动措施保持警惕，以防止 AI 在软件开发中被滥用。