AI生成的代码可能是软件供应链的灾难。这就是原因。
在AI中，当LLM产生实际上不正确，荒谬或与分配的任务完全无关的输出时，就会发生幻觉。幻觉长期以来缠着LLM，因为它们会降低其实用性和可信赖性，并且被证明难以预测和补救。在纸他们计划在2025年的USENIX安全研讨会上展示，他们称之为幻觉。
在这项研究中，研究人员进行了30次测试，python编程语言中有16次测试，在JavaScript中进行了14个测试，每次测试生成了19,200个代码样本，总计576,000个代码样本。在这些样品中包含的223万个包装参考中，有440,445或19.7％指出的包裹不存在。在这440,445个包装幻觉中，有205,474个具有独特的包装名称。
使包装幻觉可能在供应链攻击中有用的一件事是，在10个查询中重复了43％的包装幻觉。此外，研究人员写道，在58％的时间中，幻觉的包装在10个迭代中重复了不止一次，这表明大多数幻觉不仅是随机错误，而且是一种可重复的现象，这种现象在多个迭代中持续存在。这很重要，因为持续的幻觉对于希望利用这种脆弱性并使幻觉攻击向量成为更可行的威胁的恶意行为者更有价值。”
换句话说，许多包装幻觉是随机的一次性错误。相反，不存在的软件包的特定名称一遍又一遍地重复。攻击者可以通过识别反复幻觉的不存在的包裹来抓住模式。然后，攻击者将使用这些名称发布恶意软件，并等待大量开发人员访问它们。
该研究发现了产生最多包装幻觉的LLM和编程语言的差异。开源LLM（例如Codellama和DeepSeek）产生的包装幻觉的平均百分比近22％，而商业模型则超过5％。用Python编写的代码导致的幻觉量少于JavaScript代码，而JavaScript平均近16％，而JavaScript则少于21％。当被问到是什么原因引起了差异时，Spracklen写道：
关于《AI生成的代码可能是软件供应链的灾难。这就是原因。》的评论
暂无评论