‘Les intelligences artificielles hallucinent des packages logiciels et les développeurs les téléchargent – même s’ils sont potentiellement empoisonnés par des logiciels malveillants.’

« En profondeur, plusieurs grandes entreprises ont publié du code source intégrant un package logiciel précédemment halluciné par une IA générative. Non seulement quelqu’un, ayant repéré cette hallucination récurrente, a transformé cette dépendance inventée en une réelle, qui a par la suite été téléchargée et installée des milliers de fois par des développeurs suite aux mauvais conseils de l’IA, avons-nous appris. Si le package était infecté par un logiciel malveillant réel, au lieu d’être un test inoffensif, les conséquences auraient pu être désastreuses. Selon Bar Lanyado, chercheur en sécurité chez Lasso Security, l’une des entreprises dupées par l’IA en incorporant le package est Alibaba, qui inclut toujours une commande pip pour télécharger le package Python huggingface-cli dans ses instructions d’installation GraphTranslator. Il existe un huggingface-cli légitime, installé avec pip install -U « huggingface_hub[cli] ». Cependant, le huggingface-cli distribué via l’Index des Packages Python (PyPI) et requis par le GraphTranslator d’Alibaba – installé avec pip install huggingface-cli – est faux, imaginé par l’IA et rendu réel par Lanyado dans le cadre d’une expérience. »