Waspada Slopsquatting, Paket Palsu AI Sebar Malware

RRI.CO.ID, Samarinda - Asisten pemrograman kecerdasan buatan sering mengarang nama paket perangkat lunak yang tidak pernah ada di repositori. Celah itu kini dipakai penjahat siber untuk menyebarkan program jahat lewat pengembang yang percaya begitu saja pada mesin.

Praktik tersebut dikenal sebagai slopsquatting, gabungan antara keluaran AI murahan dan penyerobotan nama paket. Penyerang lebih dulu mendaftarkan paket palsu memakai nama karangan mesin di gudang kode terbuka. Saat pengembang mengetik perintah pemasangan, program jahat masuk ke komputer lalu menular ke aplikasi lain.

Periset Python Software Foundation Seth Larson mempopulerkan istilah itu pada April 2025. Sebuah makalah di konferensi USENIX Security 2025 meneliti 16 model pembuat kode yang populer. Hasilnya, hampir 20 persen paket yang disarankan mesin tidak pernah ada di registri mana pun.

Kesalahan itu bukan tebakan acak, melainkan pola yang terus berulang. Saat peneliti mengulang perintah yang sama sepuluh kali, 43 persen nama fiktif muncul lagi di setiap percobaan. Konsistensi itulah yang membuat serangan murah direncanakan dan sulit ditangkap pemindai keamanan biasa.

Peneliti Aleksandr Churilov melacak lima model kode populer dan menemukan 127 nama paket palsu yang identik. Sekitar 53 nama di antaranya belum didaftarkan siapa pun hingga April 2026 menurut kajiannya. “Mereka memelajari pola keluaran mesin, lalu mendaftarkan nama berulang lebih dulu,” ujar Shane Barney dari Keeper Security.

Serangan seperti ini bukan lagi skenario teori karena kasus nyata sudah terekam di gudang kode dunia. Riset firma keamanan Koi Security memetakan kampanye berisi 126 paket jahat dengan 86 ribu unduhan sejak Agustus 2025. Gelombang berikutnya muncul lagi hingga Februari 2026 lewat sekitar 50 akun sekali pakai.

Verifikasi keaslian setiap paket sebelum pemasangan menjadi penangkal paling murah dan paling cepat hari ini. Erik Avakian, konsultan teknis Info-Tech Research Group, mendorong validasi wajib atas kode buatan AI sebelum masuk repositori. Perusahaan pun perlu menunjuk pihak yang jelas bertanggung jawab memeriksa saran mesin.