Comment Stateward vous protège contre typosquatting & paquets « slopsquattés »
La menace
Les attaquants publient des paquets à une frappe d’un nom populaire, et les assistants IA importent avec assurance des dépendances qui n’existent pas, le « slopsquatting », que les attaquants enregistrent puis arment.
Comment Stateward le détecte
Le moteur supply-chain de Stateward signale les noms à distance de typo d’un paquet populaire, les paquets inexistants sur le registre (hallucinés/slopsquattés) et les sources hors-registre (git+, file:, http:), puis analyse le comportement publié de chaque paquet ajouté : hooks install/postinstall qui exécutent du code réseau/exec/obfusqué, ou du code d’installation sans dépôt source, la forme de malware par confusion de dépendances que les bases de CVE manquent.
Alertes récentes de cette classe
- highGHSA-7q9c-hpx7-9cwmTypeSpec: Unauthenticated Remote Shutdown of Spector Mock Server via POST /.admin/stop
- criticalCVE-2026-73842OpenChoreo: cluster-gateway internal proxy performs no caller authentication and is not read-only — data-plane Secret disclosure and arbitrary Kubernetes mutation
- mediumCVE-2026-73557 vLLM: Incomplete CVE-2025-62164 remediation can be bypassed by concurrent prompt parts
- mediumCVE-2026-73556vLLM: ReDoS via structured_outputs.regex in the lm-format-enforcer backend (no compile timeout) — missed sibling of GHSA-rwxx-mrjm-wc2m
Vérifiez votre dépôt
Connectez un dépôt et Stateward analyse votre prochaine pull request, en lecture seule, gratuit pour les particuliers et l’open source.
Conçu pour mériter votre confiance
Lecture seule & éphémère
Stateward commente, sans jamais pousser, fusionner ou stocker vos clés.
Hébergement UE & résidence des données
Code et données restent hébergés en UE avec résidence des données dans l’UE, pensé pour NIS2, DORA et le CRA.
Conscient de tout le code
Raisonne sur le graphe d’appels et les frontières de confiance, pas seulement le diff.
Stateward est disponible et prêt à garder votre code. Conçu par Yggdrasil Digital.