本地模型编造 162 个 Python 包：AI 写代码怎么防假依赖

用 AI 写脚本的人，大概都遇到过这种情况：代码看着挺像回事，第一行 pip install 却装不上，因为那个包根本不存在。多数人骂一句模型胡说就过去了。

DEV Community 上一位开发者把这件事认真测了一遍，结果比”偶尔胡说”严重得多：本地小模型编造包名不仅频繁，而且高度可复现。可复现，恰恰是安全问题的起点。

实验做了什么

作者的设置很朴素，也很贴近普通开发者的日常：

几组数字放在一起看：

最后这一条是整篇文章的重点。

如果模型每次编的假包名都不一样，那它就只是个准确率问题，装不上换一个就是了。

但实验显示，模型编造的包名几乎是固定的：同样的任务，同样的假名字，一遍又一遍地出现。这就给攻击者留了一个现成的口子：

1. 攻击者自己用这些模型跑一批常见任务，收集它们反复编造的包名。 2. 把这些名字抢先注册到 PyPI 上，里面塞恶意代码。 3. 之后任何人照着 AI 的建议执行 pip install，装上的就是攻击者准备好的包。

这类攻击在安全圈有个说法，叫”幻觉包抢注”。以前讨论它多停留在理论层面，这次实验给出了很具体的证据：在冷门任务上，十条安装建议里能有三条是假的，而且假得很稳定，正好方便被利用。

还要注意一点：越是冷门、越是你不熟的领域，你越依赖 AI 告诉你该装什么，也越难一眼看出包名不对。风险最高的场景，恰好是人最没防备的场景。

这个实验测的是本地小模型，参数量在 4B 左右。这类模型越来越受欢迎：免费、离线、隐私好，很多人拿来在笔记本上跑编码助手。但小模型知识覆盖有限，遇到冷门库时更容易”凭感觉造一个名字”。

更大的放大器是编码 Agent。以前是人看到 AI 的建议，自己决定要不要敲 pip install；现在不少 Agent 可以直接在终端里执行安装命令。中间少了人工这一关，假包被装进环境的概率自然更高。

作者也给了一个防御思路：用 TabPFN-3.5 离线识别这类编造的包名，AUROC 达到 0.975；按 ai-radar 条目的说明，还可以借助作者提供的 hook 拦截 Agent 乱装包。思路是在 Agent 和包管理器之间加一道检查，而不是指望模型自己不犯错。

不管你用的是本地模型、云端模型还是编码 Agent，下面几条都值得做：

装包前先查一下。看到不熟的包名，先去 PyPI 页面确认它存在、有正常的下载量、有维护记录、有源码仓库。刚注册不久、几乎没人下载的包要格外警惕。
别让 Agent 直接装包。给编码 Agent 配权限时，把安装依赖设成需要人工确认的操作，或者在安装命令前加一层校验脚本。
在隔离环境里试。新项目、AI 生成的脚本，先放到虚拟环境或容器里跑，不要直接在主力机的全局环境里装。
锁定依赖。用 requirements 文件或锁文件固定版本，依赖变更要经过审查，别让 AI 随手加一行就进了生产。
冷门任务多一份怀疑。实验数据很清楚，日常任务出错率不到 2%，冷门任务到了 30%。越是你不熟的领域，越要核实 AI 给的每个依赖。
选模型时把这项算进去。三个模型的编造比例从 8.1% 到 20.7% 不等，差距不小。如果你在本地模型之间选型，可以拿自己常做的任务测一测它们推荐的依赖靠不靠谱。