一项新研究 [PDF] 揭示人工智能生成的代码经常引用不存在的第三方库，从而为供应链攻击创造了机会。研究人员分析了来自 16 种流行大型语言模型的 576,000 个代码样本，发现 19.7% 的包依赖项（总共 440,445 个）是“幻觉的”。这些不存在的依赖项会加剧依赖项混淆攻击，其中与合法包名称相同的恶意包可能会渗透到软件中。开源模型出现幻觉的比例接近 22%，而商业模型的这一比例为 5%。首席研究员 Joseph Spracklen 表示：“一旦攻击者以幻觉名称发布包含一些恶意代码的软件包，他们就会依靠模型向毫无戒心的用户推荐该名称。”令人震惊的是，43% 的幻觉在多个查询中重复出现，使它们成为可预测的目标。
在 Slashdot 上阅读这个故事的更多内容。