研究称 AI 编程助手推荐不存在的包，建议进行安全预检

2026 年 11 月 6 日，DEV Community 的 AI 栏目发文介绍了一项关于 AI 编程助手推荐不存在第三方包的研究。该研究题为《We Have a Package for You!》，编号为 arXiv 2406.10279，其结果显示，在 576,000 份代码样本中，AI 编程助手所推荐的第三方包里有 19.7% 并不存在，且 58% 的幻觉包名会在多次运行中重复出现。

报道由此指出，这类名称存在被攻击者抢注的可能，相关抢注行为被称为“slopsquatting”。报道同时提到，截至 2026 年 7 月，根据维基百科的说法，尚未发现已上报的真实攻击事件，因此当前更应把这类问题视为成本低廉的预防性事项 rather than 已证实的紧急风险。在防护手段上，报道建议开发者在构建代码之前先验证依赖包的真实性，可以采用预安装检查，或使用 Socket 等免费扩展来完成。

就目前掌握的报道而言，事件停留在“风险已被研究披露、暂无已确认的实际攻击”这一步。