dependency confusion

依赖混淆攻击是指:当程序引用的代码组件名称尚未被任何人注册时,攻击者先一步注册该名称,并在其中植入自己的恶意代码。开发软件时,开发者往往只是写下别人做好的代码包的名称,系统就会自动拉取使用——攻击者正是利用了这一空隙。

打个比方。公司通知上写着「此文件请送至302室」,但302室实际上还没有人申请使用。如果有人偷偷先用自己的名字登记了302室,那么所有按照通知寄来的文件都会落入这个人手中。软件世界里也会发生同样的事情。

近来随着AI编码代理的出现,这种攻击变得更加容易得手。人类看到陌生的名称时会犹豫一下,但代理会按照文档所写的内容直接执行安装命令——因此攻击者提前占用的一个空名称,就足以打开一条通往企业内部网络的通道。

文章将其称为「名称抢注(dependency confusion)」攻击,并说明当企业的llms.txt文件指向不存在的软件包或域名时就会出现这个问题。容易被误解的一点是:这并不是AI催生的新型攻击,而是软件供应链中早已为人所知的老手法,这次唯一的不同在于——执行安装命令的不再是人,而是编码代理自动完成的。

如果想检查自己管理的项目或文档是否存在这一风险,可以这样做。

1. 打开项目的依赖列表(记录待安装组件名称的文件)。
2. 逐一确认列表中的每个名称是否确实已在公开仓库中注册,并由可信主体拥有。
3. 如果发现某个名称只在公司内部使用,但外部公开仓库中尚未注册,应先自行注册占用该名称。
4. 如果让AI编码代理执行基于文档的任务,应增加一道人工审核环节,在代理执行安装前先由人确认要安装的名称。