Hackare utnyttjar AI-kodares påhittade paketnamn – och installerar skadlig kod i din produktion
Hackare fyller AI-verktygens påhittade paketnamn med skadlig kod – och når din produktion.
När AI:n hittar på – och hackarna tar över
Det finns en egenskap hos stora språkmodeller som länge diskuterats mest som ett irritationsmoment: att de ibland hittar på saker som inte existerar. Felaktiga fakta, påhittade citat, inbillade källhänvisningar. Men nu har säkerhetsforskare avslöjat att den här svagheten är betydligt farligare än vi trott – och att den aktivt utnyttjas för att bygga massiva botnät.
Enligt en ny rapport från Ars Technica har forskare identifierat en attackmetod de kallar HalluSquatting – en sammanslagning av "hallucination" och "squatting". Nio av marknadens mest använda AI-kodningsverktyg berörs, däribland GitHub Copilot, Cursor och Gemini CLI. Det är verktyg som idag används av hundratusentals, troligtvis miljontals, utvecklare världen över – inklusive i Sverige.
Så fungerar attacken
När en AI-kodassistent hjälper till att skriva kod refererar den ofta till externa programbibliotek och kodpaket från öppna förvar. Problemet uppstår när modellen, istället för att peka på ett verkligt bibliotek, helt enkelt hittar på ett namn – ett paket som låter rimligt men som inte existerar.
Det är precis här HalluSquatting slår till. Angriparna har lyckats kartlägga och förutsäga vilka påhittade paketnamn som AI-verktygen med störst sannolikhet kommer att rekommendera. De registrerar sedan dessa namn i riktiga paketförvar – exempelvis npm eller PyPI – och fyller dem med skadlig kod. Resultatet är att en utvecklare som litar på sin AI-assistent, kopierar förslaget och installerar paketet, i värsta fall öppnar en bakdörr in i sitt eget system.
Det som gör detta angrepp unikt allvarligt är skalan. Tidigare liknande attacker krävde att angriparen kontaktade varje offer individuellt. HalluSquatting vänder på den logiken: angriparen placerar ut betet en gång, och låter sedan AI-verktygen själva distribuera det till ett obegränsat antal användare. Det är ett industriellt sätt att exploatera mänsklig tillit till automatisering.
Svenska företag är inte immuna
Sverige är ett av Europas mest AI-intensiva länder när det gäller mjukvaruutveckling. Startup-ekosystemet i Stockholm, Göteborg och Malmö förlitar sig i allt högre utsträckning på AI-assisterad kodning för att hålla högt tempo. Det är en styrka – men det skapar också en gemensam sårbarhet.
Om ett utvecklingsteam arbetar snabbt och utan att granska varje AI-förslag kritiskt, är risken påtaglig. Och den mänskliga faktorn spelar in: när AI-verktyget presenterar ett paketnamn med samma självsäkerhet som det presenterar ett syntaktiskt korrekt kodsegment, är det lätt att förlita sig på det utan att ifrågasätta.
Det handlar inte om att utvecklarna är slarvig – det handlar om att arbetsflödena ännu inte är anpassade för den här typen av hot.
Vad kan man göra?
Det positiva är att det finns konkreta åtgärder att sätta in redan nu:
- Granska alltid paketnamn manuellt innan installation, oavsett källa
- Använd låsningsfiler och kontrollsummor för att säkerställa att rätt paket installeras
- Inför automatisk säkerhetsgranskning av beroenden i er byggprocess (exempelvis med verktyg som Socket eller Dependabot)
- Utbilda utvecklingsteam i hur AI-hallucinationer kan ta sig uttryck i kodkontext
- Begränsa AI-verktygens direkta tillgång till produktionsmiljöer utan mänsklig granskning
Detta är inte ett argument mot AI-assisterad kodning – det är ett argument för mogen och medveten användning av den. Precis som vi inte litar blint på ett sökresultat utan att kontrollera källan, behöver vi nu bygga samma kritiska förhållningssätt kring AI-genererade kodberoenden.
En ny kategori av säkerhetshot
HalluSquatting representerar något principiellt nytt: ett angrepp som inte riktas mot AI-systemets säkerhet i traditionell mening, utan mot tilliten till det. Det utnyttjar inte en bugg i koden – det utnyttjar en egenskap hos hur språkmodeller fungerar, kombinerat med mänsklig benägenhet att delegera ansvar till automatiserade system.
Det gör det svårare att åtgärda och lättare att missa. Och det kommer sannolikt inte att vara den sista attackmetoden som bygger på den här logiken.
Vår analys
HalluSquatting är inte bara en teknisk sårbarhet – det är ett tidigt varningssystem för hela branschen. Vi befinner oss i en fas där AI-verktyg adopteras i rasande takt, men där säkerhetsramverken kring dem fortfarande är omogna. Det är ett klassiskt glapp mellan innovation och infrastruktur.
Det som oroar mig mest som affärsutvecklare är inte den tekniska attacken i sig – det är skalningseffekten. Ett enda välplacerat skadligt paket, kopplat till ett hallucinerande AI-verktyg med miljontals användare, kan orsaka en skada som tidigare krävt massiva resurser att åstadkomma.
Men jag ser också en möjlighet: den här typen av hot driver fram nästa generation av säkerhetsverktyg specifikt anpassade för AI-arbetsflöden. Det är en marknad som knappt existerar idag men som kommer att vara mångmiljardstark om tre år. Svenska säkerhetsbolag borde ha ögonen öppna. Omställningen är oundviklig – frågan är vem som leder den.