Así es la nueva ciberamenaza que usa la IA para atacarte, no caigas en el slopsquatting

Desde hace un tiempo vengo probando herramientas de inteligencia artificial para escribir código. Son rápidas, cómodas y, en muchos casos, bastante precisas. Pero lo que no esperaba era toparme con una amenaza como esta: el slopsquatting. Este nuevo tipo de ataque aprovecha uno de los errores más comunes de los modelos de lenguaje: las alucinaciones. Es decir, cuando una IA “se inventa” cosas que suenan reales, pero no lo son. Y en el caso del código, a veces se inventan nombres de paquetes que ni existen, pero que suenan tan creíbles que cualquiera podría picar.

¿Qué es exactamente el slopsquatting?

Imagínate que usas una IA para ayudarte a programar en Python o JavaScript, y te sugiere instalar un paquete llamado secure-auth-helper. Parece legítimo, ¿verdad? El problema es que ese paquete no existe… hasta que alguien malintencionado decide crearlo y subirlo a un repositorio público con contenido malicioso.

Eso es el slopsquatting: los hackers aprovechan esas «alucinaciones» de nombres que la IA se inventa y crean paquetes con esos nombres falsos. Luego, cuando un desarrollador confiado sigue la recomendación de la IA y lo instala, el atacante ya tiene vía libre para hacer lo que quiera en su sistema.

Según un estudio reciente de tres universidades de EE.UU., hasta un 20 % de los paquetes sugeridos por algunos modelos de IA no existen. Lo más preocupante es que estos modelos tienden a repetir los mismos nombres una y otra vez. Así que, aunque al principio fuera solo una invención, con el tiempo se convierte en un patrón fácil de explotar.

Cómo evitar caer en la trampa

Si trabajas con código generado por IA, es importante que tomes ciertas precauciones. Aquí te dejo lo que yo mismo he empezado a aplicar en mis proyectos:

1. No confíes ciegamente en lo que te sugiere la IA: cada vez que un modelo te recomiende un paquete, verifica si realmente existe. Entra al repositorio oficial (como PyPI o npm) y comprueba quién lo ha subido, cuándo se creó y qué comentarios tiene.
2. Prioriza los paquetes conocidos y con buena reputación: si la IA te recomienda algo muy poco común o nuevo, piénsatelo dos veces antes de instalarlo. Busca siempre alternativas más consolidadas, aunque tarden un poco más en configurarse.
3. Activa entornos de prueba antes de integrar nada en producción: no instales directamente nuevos paquetes en tu sistema principal. Usa entornos aislados o virtuales para probarlos y asegurarte de que no hacen nada raro.
4. Mantén actualizado tu entorno de desarrollo: a menudo los gestores de paquetes incluyen filtros para evitar instalaciones maliciosas, pero tienes que tener la versión más reciente. Actualizar tu entorno puede evitarte más de un susto.
5. No corras por ir más rápido: la IA puede ayudarte a ganar tiempo, sí, pero la seguridad no se negocia. Que algo funcione no significa que sea seguro. Tómate tu tiempo para revisar lo que te propone.

No se trata de tener miedo a usar IA, sino de saber cómo hacerlo con cabeza.

El slopsquatting es solo uno de los muchos riesgos que vienen de la mano de la inteligencia artificial mal usada. No se trata de tener miedo a usar IA, sino de saber cómo hacerlo con cabeza. Si confías en herramientas como ChatGPT, Copilot o Code Llama para programar, genial. Pero no bajes la guardia. Revisa, verifica y protege tus entornos como si cada línea de código pudiera ser una puerta abierta a tu sistema.

Porque hoy en día, hasta una simple sugerencia de código puede ser el principio de un ataque. Y cuanto antes empecemos a hablar de esto, mejor preparados estaremos.