Slopsquatting: Ketika AI Ngoding Ngarang Nama Package, dan Attacker Udah Nunggu di Sana

Januari 2026, peneliti keamanan Charlie Eriksen menemukan sesuatu yang aneh. Ratusan AI coding agent, tersebar di 237 repository berbeda, terus-menerus mencoba menginstal satu package npm bernama react-codeshift. Masalahnya, package itu tidak pernah ada. AI cuma mengarang nama itu, lalu AI agent lain yang membaca kode hasil generate-annya ikut mencoba menginstalnya setiap hari. Eriksen buru-buru mendaftarkan nama itu sendiri, biar tidak keduluan orang jahat.

Kasus ini bukan kejadian sekali saja. Ini gejala dari masalah yang sekarang punya nama sendiri: slopsquatting, gabungan dari "AI slop" dan "typosquatting". Istilah ini dicetuskan Seth Larson, Developer-in-Residence di Python Software Foundation, untuk menggambarkan pola serangan baru yang muncul akibat AI coding tool yang doyan berhalusinasi soal nama library.

Seberapa Sering AI Mengarang Nama Package?

Studi akademik dari tim peneliti USENIX Security 2025 (Spracklen dkk.) menganalisis 576.000 sampel kode dari 16 model AI populer. Hasilnya, 19,7% package yang direkomendasikan AI itu halusinasi, alias tidak eksis di registry manapun. Mereka menemukan lebih dari 205.000 nama package unik yang cuma ada dalam imajinasi AI.

Angkanya berbeda-beda tergantung model. Model open-source rata-rata berhalusinasi pada 21,7% rekomendasinya, sementara model komersial "hanya" 5,2%. Analisis Sonatype tahun 2026 bahkan menemukan salah satu LLM populer punya tingkat halusinasi dependency sampai 27,8%. Artinya, hampir 1 dari 4-5 saran package yang diberikan AI berpotensi menjadi jebakan.

Kenapa Ini Bisa Dieksploitasi Secara Sistematis

Yang membuat slopsquatting berbeda dari sekadar "AI kadang salah" adalah tingkat konsistensinya. Saat peneliti menjalankan prompt yang sama berulang kali, 43% nama package hasil halusinasi itu muncul lagi di setiap run. Artinya attacker tidak perlu menebak-nebak, mereka tinggal menjalankan beberapa lusin prompt ke model populer, mencatat nama yang paling sering muncul, lalu mendaftarkan nama itu di PyPI atau npm sebelum ada yang lain menyadarinya.

Maret 2026, peneliti menemukan 127 nama package (109 di PyPI, 18 di npm) yang konsisten dihalusinasi oleh hampir semua model AI frontier yang ada. Nama-nama ini jadi target empuk untuk didaftarkan lebih dulu oleh attacker.

Insiden Nyata yang Sudah Terjadi

Package unused-imports di npm, yang muncul karena AI mengira ini singkatan dari eslint-plugin-unused-imports, masih tercatat sekitar 233 download per minggu di awal 2026, meski npm sudah menahannya karena dicurigai berbahaya.

Pada Maret 2026, akun publishing resmi LiteLLM di PyPI berhasil dibobol, dan attacker sempat merilis dua versi package yang sudah disisipi backdoor sebelum akhirnya terdeteksi dan di-quarantine.

Ada juga teknik turunan bernama "HalluSquatting" yang muncul Juli 2026: attacker tidak cuma mendaftarkan nama package hasil halusinasi, tapi rantai serangannya digabung dengan prompt injection, sehingga AI agent yang mengambil resource hasil halusinasi itu bisa dibajak untuk menjalankan kode arbitrer milik attacker.

Kenapa Ini Soal Arsitektur, Bukan Cuma "Hati-Hati Saja"

Masalah slopsquatting susah ditambal dari sisi model AI saja, karena sumbernya memang cara kerja LLM: mencari pola paling mungkin, bukan memverifikasi fakta ke registry asli. Yang bisa dikontrol adalah di mana dan bagaimana AI agent boleh mengeksekusi instalasi package.

Rekomendasi standar industri sekarang: lockfile pinning, verifikasi hash package, dan larangan bagi AI agent untuk menginstal package baru tanpa allowlist atau review manusia. Prinsip ini sejalan dengan alasan kenapa eksekusi kode AI agent wajib dijalankan di balik sandbox, bukan langsung ke environment produksi. Setiap perintah instalasi atau eksekusi kode dari AI builder TanpaNgoding berjalan di sandbox terisolasi dengan validasi command, bukan akses shell bebas ke sistem.