Slopsquatting: Serangan Baru yang Mengincar Developer Pengguna AI dan Cara Mencegahnya

Slopsquatting adalah teknik serangan supply chain di mana penyerang mendaftarkan nama package palsu yang sering "dihalusinasikan" oleh AI coding assistant seperti ChatGPT, Copilot, Cursor, atau Claude Code. Saat developer yang sedang vibe coding menjalankan pip install atau npm install sesuai saran AI, yang terpasang justru package berbahaya milik penyerang. Di artikel ini kita bahas apa itu slopsquatting, kenapa AI bisa mengarang nama package, data risetnya, dan cara mencegahnya.

Apa itu Slopsquatting?

Istilah slopsquatting diperkenalkan pada April 2025 oleh Seth Larson, Developer-in-Residence di Python Software Foundation. Namanya gabungan dari dua kata:

• Slop, sebutan untuk konten asal-asalan buatan AI.
• Squatting, praktik "menduduki" nama tertentu, seperti pada cybersquatting (domain) dan typosquatting (nama package yang mirip dengan typo).

Bedanya dengan typosquatting, penyerang slopsquatting tidak menunggu developer salah ketik. Mereka menunggu AI yang salah menyebut nama package, lalu developer yang percaya begitu saja dengan saran tersebut.

Bagaimana Serangan Slopsquatting Bekerja?

Alurnya sederhana, dan justru itu yang membuatnya berbahaya:

1. AI mengarang nama package. Developer meminta AI membuatkan kode, lalu AI menyarankan library yang sebenarnya tidak pernah ada, misalnya gabungan dua nama library populer.
2. Penyerang mengumpulkan nama-nama halusinasi. Dengan menjalankan ribuan prompt ke berbagai model AI, penyerang mencatat nama package fiktif yang paling sering muncul.
3. Penyerang mendaftarkan nama itu di registry publik seperti PyPI atau npm, lalu mengisinya dengan kode berbahaya: pencuri kredensial, backdoor, atau remote access trojan (RAT).
4. Developer menjalankan perintah install persis seperti saran AI. Karena package-nya sekarang benar-benar ada, instalasi berhasil tanpa error.
5. Kode berbahaya berjalan di laptop developer atau, lebih parah, di server CI/CD yang menyimpan banyak secret.

AI mengarang nama package → Penyerang mendaftarkan nama itu → Developer install sesuai saran AI → Malware berjalan

Risikonya makin besar di era AI coding agent. Agen yang punya akses terminal bisa menjalankan npm install sendiri tanpa ada manusia yang sempat membaca nama package-nya.

Data Riset: Seberapa Sering AI Mengarang Nama Package?

Pertanyaan ini dijawab oleh riset berjudul "We Have a Package for You! A Comprehensive Analysis of Package Hallucinations by Code Generating LLMs" yang dipresentasikan di USENIX Security 2025. Peneliti menguji 16 model AI populer dengan 2,23 juta sampel kode Python dan JavaScript. Hasilnya cukup mengejutkan:

Angka terakhir adalah yang paling penting. Halusinasi AI ternyata bisa diprediksi. Kalau sebuah model mengarang nama package yang sama berulang kali, penyerang cukup mendaftarkan nama itu sekali dan menunggu korban datang sendiri.

Riset yang sama juga menemukan pola nama-nama fiktif tersebut:

• Gabungan dua nama asli (sekitar 38%), misalnya jscodeshift dan react-codemod menjadi react-codeshift.
• Variasi mirip typo (sekitar 13%) dari package yang benar-benar ada.
• Karangan murni (sekitar setengahnya), nama yang terdengar masuk akal tapi sepenuhnya fiktif.
• Salah ekosistem: 8,7% nama package Python fiktif ternyata ada di npm, sehingga AI "meminjam" nama dari bahasa pemrograman lain.

Catatan: angka-angka di atas berasal dari model AI versi 2024–2025. Model yang lebih baru umumnya lebih jarang berhalusinasi, tetapi risikonya belum hilang.

Contoh Kasus Nyata

Eksperimen huggingface-cli

Sebelum istilah slopsquatting populer, peneliti keamanan Bar Lanyado dari Lasso Security memperhatikan bahwa banyak model AI menyarankan perintah pip install huggingface-cli. Padahal package dengan nama itu tidak ada; cara install yang benar adalah pip install -U "huggingface_hub[cli]".

Sebagai uji coba, Lanyado mendaftarkan package kosong (tanpa kode berbahaya) dengan nama huggingface-cli di PyPI. Dalam tiga bulan, package itu diunduh lebih dari 30.000 kali. Nama tersebut bahkan sempat muncul di instruksi instalasi pada README repositori riset milik Alibaba. Bayangkan kalau isinya malware.

Kampanye "Flooding Dropper" di npm (Agustus 2026)

Pada Agustus 2026, peneliti menemukan sekitar 850 package npm berbahaya yang diunggah dari banyak akun baru. Package ini menyuruh developer memanggil kode lewat require() secara manual, lalu mengunduh RAT dan infostealer untuk Windows, macOS, dan Linux. Beberapa peneliti menyebut nama-namanya sebagai hasil "AI slop squatting", meski belum terbukti apakah nama tersebut memang diambil dari halusinasi AI atau dibuat oleh generator milik penyerang sendiri.

Jadi per Oktober 2026, belum ada serangan yang terkonfirmasi sepenuhnya memakai nama hasil halusinasi AI. Namun eksperimen huggingface-cli membuktikan jalurnya terbuka lebar, dan para peneliti memperkirakan hanya soal waktu.

Kenapa Developer Vibe Coding Paling Rentan?

Vibe coding, yaitu membangun aplikasi dengan mengandalkan AI dan sedikit membaca kode, membuat developer lebih jarang memeriksa detail. Beberapa kebiasaan yang membuka celah:

• Copy-paste perintah install tanpa mengecek apakah package-nya resmi.
• Membiarkan agen AI menginstal dependensi sendiri dengan akses terminal penuh.
• Menganggap "install berhasil" berarti aman. Padahal pada slopsquatting, instalasi justru berhasil karena penyerang sudah menyiapkan package-nya.
• Tidak memakai lockfile atau tidak memeriksa perubahan di package.json dan requirements.txt.

Topik ini erat kaitannya dengan tools AI lain untuk developer. Baca juga artikel lain seputar keamanan siber di kategori Cyber Security dan pembahasan AI di kategori AI.

Cara Mencegah Serangan Slopsquatting

1. Verifikasi setiap package yang disarankan AI

Sebelum install, pastikan package benar-benar ada, siapa pembuatnya, dan kapan dibuat. Package yang baru berumur beberapa hari dengan nama yang "pas sekali" patut dicurigai.

# npm: cek info dan tanggal rilis pertama
npm view nama-package
npm view nama-package time.created

# PyPI: buka halaman package atau cek lewat JSON API
https://pypi.org/project/nama-package/
https://pypi.org/pypi/nama-package/json

Periksa juga repositori GitHub-nya, jumlah unduhan, dan apakah dokumentasi resmi library tersebut memang menyebut nama itu.

2. Gunakan lockfile dan verifikasi hash

Commit lockfile ke repositori dan gunakan perintah install yang patuh pada lockfile di CI/CD:

# Node.js
npm ci

# Python dengan hash
pip install --require-hashes -r requirements.txt

Dengan begitu, package baru tidak bisa masuk diam-diam tanpa terlihat di review perubahan.

3. Batasi agen AI dengan allowlist

Kalau memakai AI coding agent yang bisa menjalankan perintah terminal, batasi package yang boleh diinstal ke daftar yang sudah disetujui. Untuk package di luar daftar, wajibkan persetujuan manusia. Jika tidak memungkinkan, matikan izin install otomatis.

4. Pasang software composition analysis (SCA)

Tools SCA dan dependency scanner bisa menandai package yang baru dibuat (misalnya kurang dari 30–90 hari), package tanpa reputasi, atau package yang dikenal berbahaya. Jalankan di pipeline CI sebelum kode di-merge.

5. Gunakan registry internal atau proxy

Untuk tim dan perusahaan, gunakan registry proxy internal (seperti Nexus, Artifactory, atau Verdaccio) yang hanya meneruskan package yang sudah disetujui. Ini juga melindungi dari serangan dependency confusion.

6. Buat SBOM dan review dependensi

Software Bill of Materials (SBOM) membantu tim mengetahui semua dependensi yang dipakai aplikasi. Untuk organisasi yang diaudit, seperti yang mengikuti ISO 27001 atau OJK, SBOM dan proses review dependensi juga menjadi bukti kontrol keamanan supply chain.

7. Tetap baca kode yang dihasilkan AI

Vibe coding boleh, tetapi baris import dan perintah install adalah bagian yang wajib dibaca. Hanya butuh beberapa detik untuk memastikan nama package-nya benar.

Checklist Singkat Anti-Slopsquatting

• Package ada di registry resmi dan namanya sesuai dokumentasi library.
• Publisher jelas dan repositori sumbernya bisa ditelusuri.
• Package tidak baru dibuat beberapa hari lalu.
• Lockfile di-commit dan CI memakai npm ci atau --require-hashes.
• Agen AI tidak bisa menginstal package di luar allowlist.
• Dependency scanner berjalan di setiap pull request.

FAQ Seputar Slopsquatting

Apa bedanya slopsquatting dan typosquatting?

Typosquatting memanfaatkan salah ketik manusia, misalnya reqeusts alih-alih requests. Slopsquatting memanfaatkan kesalahan AI yang mengarang nama package yang tidak pernah ada, lalu nama itu didaftarkan oleh penyerang.

Apakah ChatGPT, Copilot, dan Claude bisa menyarankan package palsu?

Bisa. Model komersial memang jauh lebih jarang berhalusinasi dibanding model open-source (rata-rata 5,2% berbanding 21,7% pada riset 2025), tetapi tidak ada model yang benar-benar bebas halusinasi.

Apakah slopsquatting sudah pernah dipakai untuk serangan nyata?

Per Oktober 2026, belum ada serangan yang terkonfirmasi sepenuhnya memakai nama hasil halusinasi AI. Namun eksperimen package kosong huggingface-cli yang diunduh lebih dari 30.000 kali membuktikan teknik ini sangat mungkin berhasil.

Bagaimana cara mengecek package npm atau PyPI asli atau palsu?

Cek tanggal rilis pertama, publisher, jumlah unduhan, repositori sumber, dan pastikan namanya disebut di dokumentasi resmi library. Untuk npm gunakan npm view nama-package time.created, untuk PyPI buka halaman pypi.org/project/nama-package.

Apakah vibe coding jadi tidak aman?

Vibe coding tetap bisa dipakai dengan aman asalkan ada kontrol: verifikasi dependensi, lockfile, dependency scanner, dan pembatasan izin agen AI. Yang berbahaya adalah menjalankan saran AI tanpa memeriksanya sama sekali.

Kesimpulan

Slopsquatting menunjukkan sisi lain dari kemudahan vibe coding: AI bisa mengarang nama package dengan percaya diri, dan penyerang siap memanfaatkannya. Karena halusinasi AI cenderung berulang dan bisa diprediksi, celah ini lebih mudah dieksploitasi daripada typosquatting biasa.

Kabar baiknya, pencegahannya tidak rumit. Biasakan memverifikasi setiap package yang disarankan AI, gunakan lockfile dan dependency scanner, serta batasi izin AI coding agent. Beberapa detik pengecekan jauh lebih murah daripada membersihkan server yang sudah disusupi.

Sumber

• We Have a Package for You! (Spracklen et al., USENIX Security 2025)
• CSA Research Note: Slopsquatting, AI Code Hallucinations Fuel Supply Chain Attacks
• CSA Research Note: Flooding Dropper npm Campaign
• Lasso Security: AI Package Hallucinations
• Wikipedia: Slopsquatting