依賴風險：AI 憑空發明的那個包

現代應用依賴著幾十個第三方包，而 AI 推薦起它們來毫不手軟。兩個風險隨之而來。

第一，typosquatting（仿冒搶注）和幻覺出來的包。 攻擊者會發布惡意的包，名字和真包只差一丁點（reqeusts 而不是 requests），賭的就是你打錯字。AI 有時會信心滿滿地匯入一個根本不存在的包——而一個注意到這種習慣的攻擊者，就能去註冊那個一模一樣的名字、裡面塞上惡意程式碼。在安裝 AI 推薦的任何東西之前，瞄一眼它：它真的存在嗎，它有真實的下載量和倉庫嗎，名字的拼寫是你預期的那樣嗎？

第二，未經審查的依賴（總體而言）。 你加進來的每一個包，都是以你應用的全部許可權在執行的程式碼。依賴越多，意味著 bug 和供應鏈攻擊的暴露面也越大。優先選少數幾個廣為人知的庫，而不是一長串名不見經傳的；並在加一個包之前先問問*“我們真的需要一個包來幹這個嗎，還是說這就十行程式碼？”*

定期執行你所在生態的審計工具（npm audit、pip-audit 之類）——它會標出你已經裝了的東西里那些已知的漏洞，而 AI 很擅長修復它報出來的問題。