Les LLM hallucinent des paquets logiciels inexistants : une vulnérabilité de la chaîne d'approvisionnement

Des chercheurs ont découvert une vulnérabilité préoccupante dans les grands modèles de langage (LLM) : l'hallucination de paquets logiciels inexistants lors de la génération de code. Ce n'est pas aléatoire ; des noms spécifiques de paquets inexistants sont générés de manière répétitive, créant un schéma répétable. Les attaquants pourraient exploiter cela en publiant des logiciels malveillants sous ces noms hallucinés, en attendant que les développeurs y accèdent, lançant ainsi une attaque sur la chaîne d'approvisionnement. Les LLM open source ont montré un taux plus élevé de cette « hallucination de paquets » que les modèles commerciaux, et le code Python a montré moins d'instances que le JavaScript.