警惕 slopsquatting：LLM 幻觉出的依赖包名数小时内被抢注成恶意包

Thionne_WTZ 提醒 slopsquatting 攻击风险，LLM 生成代码时幻觉出的包名会被攻击者在数小时内抢注成带恶意代码的真实包。他称亲眼见过 AI 生成代码引用一个不存在的 npm 包，12 小时后该包已上线且含恶意代码。他建议把每个新依赖都视为不可信，核验发布者、包的年龄和实际代码，并称大多数团队仍未这样做。