現時不少程式開發都會用到軟件套件 (Software Package) 來引入現成的功能，不過這些套件如果存在問題，則會同時滲透進去，最近更有研究發現生成式 AI 令這個問題變得嚴重。
有研究發現，生成式 AI 存在的「AI 幻覺」會讓 AI 在回應中加入一些似是而非的內容，而其中在程式編寫中常用的軟件套件，也成為了捏造的內容。asso Security 研究員 Bar Lanyado 最近表示，有一些企業在其開發項目中，錯誤相信了 AI 的建議，加入不存在的軟件套件，其中包括阿里巴巴的 GraphTranslator 就加入了 Python 軟件套件 huggingface-cli，而不是正確的 huggingface_hub[cli]。研究嘗試實際以 huggingface-cli 的名義製作軟件套件，如此一來就可以被 GraphTranslator 所採用，結果這個測試軟件套件在 3 個月內就被下載超過 15,000 次。
Lanyado 表示，這個做法證實要在程式設計流程中滲透惡意軟件，在「AI 幻覺」的問題下變得更加容易，令人擔憂。而且研究顯示在不同的 AI 平台上，某些因 AI 幻覺出現的軟件套件名稱的重複率相當高。這種一致性恰恰可能將 AI 的失誤轉化為強大的攻擊載體，使黑客能夠利用這個漏洞進行攻擊。他表示，目前未發現有其他人利用這種方式進行方式，不過要識別這種攻擊相當複雜，因為它不會留下很多痕跡。
來源：The Register
