每年 8 月 10 日是 國際懶惰日（International Lazy Day），雖然它不是官方認可的節日，但全球網友都默默認同這一天就是——
「耍廢、躺平、什麼都不做的一天！」
不做家事、滑手機耍廢、點外送、開靜音模式……都OK。
但有一件事千萬不能懶，那就是「防詐」！
你在耍廢時，詐騙集團根本沒在休假。
他們正等著你「懶得查、懶得設密碼、懶得多想」，然後⋯⋯
把你的帳戶當提款機用！別讓你的「懶」幫詐騙集團打工！
⭕️ 第一種：懶得查證→一點就中招
你是不是也有這些「懶人習慣」？當心你的錢包比你還勤勞地出走！
哈囉各位毛爸媽、鏟屎官們！又到了八月，這可是個特別的月份，除了有溫馨的父親節，還有萌到爆的國際貓咪日！當大家都在準備父親節禮物時，你可能不知道——8月8日其實也是【國際貓咪日（International Cat Day）】！這一天是全球貓奴一起曬貓、疼貓、呼籲保護貓咪的重要時刻。不過，除了疼貓，也別忘了保護最重要的男人——爸爸。尤其在詐騙頻傳的現在，爸爸也可能好意幫親友的寵物投票，卻不小心落入陷阱。以前的詐騙可能只是要你點擊不明連結，騙取個資，現在詐騙集團更是設下連環計，竟然假冒朋友，聲稱自己有帳號被盜的經驗，傳送「假破解教學」，甚至還偽稱是「警察指導」…..這一切都是為了拖延時間，讓受害者錯過黃金救援時機，最終導致帳號永久無法取回。該怎麼辦？來看看台北市政府警察局的說明…
本文探討 AI 程式設計助理如何因幻覺而生成出一些看似合理但實際上卻不存在的套件名稱，進而衍生能讓駭客預先設下陷阱的「slopsquatting」攻擊。此外，本文也提供一些企業可用來保護開發流程的實務策略。
主要重點
想像一下這樣的情境：您的開發時程相當緊迫，但您擁有一套可靠的 AI 程式設計助理來自動幫您完成函式撰寫、推薦可用相依元件，甚至幫您即時呼叫 pip 安裝指令。您正深深沉醉在所謂的「氛圍程式設計」(vibe coding) 開發流程當中，在 AI 的協助下，您的點子幾乎豪不費力就變成了程式碼，感覺就好像在變魔術一樣，直到一切突然停止運作。
在研究過程當中，我們曾看到一個進階 AI 代理自豪地無中生有了一個看似完全合理的套件名稱，但隨後卻在程式實際組建時發生「找不到模組」的窘境。然而更令人擔憂的是，這些幽靈套件說不定已經存在於 PyPI 當中，因為某個駭客已經註冊了這些套件名稱，等著開發人員上鉤，自己將惡意程式碼帶入工作流程當中。
對 AI 開發人員來說，這些暫時性的錯誤不單只是造成不便而已，而是一種新式供應鏈攻擊的機會之窗。當 AI 代理幻想出不存在的相依元件或安裝未經檢查的套件時，就等於為slopsquatting 創造了機會，因為駭客會在公開登錄上預先註冊這些幻想出來的名稱。
本文探討這些幻覺是如何出現在進階 AI 代理當中，並說明其潛在的影響，提供企業一些維護開發流程安全以防範類似威脅的行動建議。
這是有關代理式 AI 漏洞議題的最後一篇文章，本文探討對 AI 代理造成威脅的各種新興漏洞，主要是提供主動式資安建議來防範程式碼執行、資料外傳以及資料庫存取等方面的漏洞。
大型語言模型 (LLM) 已日益成為現代化應用程式的一環，其安全性比以往更加重要。我們在先前幾篇文章已討論過可能對 AI 代理造成威脅的新興漏洞，主要聚焦在程式碼執行、資料外傳以及資料庫存取等領域。
本系列的最後一篇，我們將探討如何應對這些威脅所帶來的挑戰，以及我們為何需要嚴密的多層式策略來保護這些系統。本系列其他文章還有：
