Halucynacje pakietów w kodzie (Hallucinated Packages)

1. Przegląd koncepcji i przeznaczenia

Wyobraź sobie sytuację: poprosiłeś chatbota o dodanie efektownej, interaktywnej animacji fajerwerków do swojej strony. Model z entuzjazmem generuje kod, a w pierwszej linii wpisuje:

import { triggerConfettiExplosion } from "next-magic-fireworks";

Kopiujesz kod do projektu, uruchamiasz terminal, wprowadzasz npm install next-magic-fireworks, a konsola wyrzuca czerwony błąd: 404 Not Found. Taki pakiet nigdy nie istniał!

Zmyślone zależności (Hallucinated Dependencies) to jedna z najpodstępniejszych pułapek programowania generatywnego. Model tak bardzo chce sprostać oczekiwaniom użytkownika, że wymyśla idealne narzędzia „z głowy”.

Model mentalny: główna lekcja cyberhigieny: nigdy nie instaluj pakietów na ślepo bez szybkiej weryfikacji.

2. Model mentalny zagrożenia Slopsquatting

┌─────────────────────────────────────────────────────────────┐
│                 JAK DZIAŁA PUŁAPKA NIEISTNIEJĄCEGO PAKIETU  │
├─────────────────────────────────────────────────────────────┤
│ 1. AI halucynuje ładną nazwę:                               │
│    `import { encryptData } from "fast-crypto-tools";`       │
├─────────────────────────────────────────────────────────────┤
│ 2. Początkujący programista bezrefleksyjnie uruchamia w      │
│    terminalu:                                               │
│    $ npm install fast-crypto-tools                          │
├─────────────────────────────────────────────────────────────┤
│ 3. Pułapka hakerska (Slopsquatting):                        │
│    Hakerzy zauważyli, że AI często sugeruje tę nazwę, i     │
│    wcześniej umieścili złośliwe oprogramowanie o tej nazwie  │
│    w rejestrze npm                                          │
├─────────────────────────────────────────────────────────────┤
│ 🚨 Katastrofa: wykradzione klucze SSH i hasła z komputera   │
└─────────────────────────────────────────────────────────────┘

3. Lista kontrolna bezpieczeństwa przed npm install

Zanim naciśniesz Enter przy jakiejkolwiek komendzie instalacji nowej biblioteki wygenerowanej przez AI:

1. Sprawdź liczbę gwiazdek i pobrań: Prawdziwa, niezawodna biblioteka (np. lucide-react, zod, framer-motion) ma miliony pobrań tygodniowo i tysiące gwiazdek na GitHubie.
2. Zapytaj model o alternatywy: Napisz w czacie: «Czy [nazwa_pakietu] jest oficjalną, popularną biblioteką? Podaj 2 najbardziej sprawdzone alternatywy open-source».
3. Poproś o rozwiązanie bez zewnętrznych bibliotek: Bardzo często model może napisać prostą funkcję składającą się z 15 linii czystego kodu, eliminując konieczność ciągnięcia do projektu zbędnego, ciężkiego pakietu.

4. Złota zasada

Lepiej mieć 10 linii własnego, zrozumiałego kodu niż jeden nieznany pakiet z trzema pobraniami miesięcznie!