Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
HalluSquatting to nowa technika ataku wymierzona w agentowych asystentów AI, szczególnie tych używanych przez programistów i zespoły DevOps. Mechanizm łączy dwa znane problemy modeli językowych: halucynacje oraz pośredni prompt injection. W praktyce model może wygenerować wiarygodnie brzmiącą, ale nieistniejącą nazwę pakietu, repozytorium lub dodatku, a następnie pobrać zasób kontrolowany przez napastnika.
Jeżeli taki asystent ma możliwość instalowania zależności, klonowania repozytoriów lub uruchamiania poleceń, błędna odpowiedź modelu przestaje być wyłącznie problemem jakościowym. Staje się punktem wejścia do wykonania złośliwych działań w środowisku użytkownika.
W skrócie
Badacze opisali scenariusz, w którym model AI konsekwentnie generuje tę samą błędną nazwę zasobu. Atakujący może wcześniej ją zarejestrować, przygotować złośliwą zawartość i doprowadzić do sytuacji, w której agent sam pobierze i uruchomi kontrolowany element.
- atak wykorzystuje przewidywalne halucynacje nazw zasobów,
- złośliwy komponent może być ukryty w repozytorium, pakiecie lub rozszerzeniu,
- celem jest przejęcie logiki działania asystenta AI,
- skutkiem może być instalacja malware, backdoora lub elementów botnetu.
Kontekst / historia
Zagrożenie wpisuje się w szerszy trend problemów bezpieczeństwa związanych z użyciem AI w łańcuchu dostaw oprogramowania. Wcześniej opisywano przypadki, w których modele sugerowały nieistniejące biblioteki lub pakiety, a cyberprzestępcy mogli rejestrować takie nazwy i wykorzystywać je do dystrybucji złośliwego kodu.
Podobne zjawiska obserwowano również w obszarze domen internetowych oraz marketplace’ów dla dodatków i rozszerzeń. HalluSquatting rozwija ten schemat o kolejny etap: nie chodzi już tylko o pomyłkę użytkownika, ale o zautomatyzowane działanie agenta, który sam wyszukuje, pobiera i wykonuje zasoby zewnętrzne.
Analiza techniczna
Łańcuch ataku zwykle zaczyna się od wytypowania popularnego narzędzia, o które użytkownicy często pytają asystentów AI. Szczególnie podatne są nowe projekty i mniej utrwalone nazwy, ponieważ model częściej zgaduje ich identyfikatory zamiast odwoływać się do zweryfikowanych danych.
Następnie napastnik sprawdza, czy model powtarzalnie generuje tę samą nieistniejącą nazwę. Jeśli taka nazwa pojawia się regularnie, można ją zarejestrować jako repozytorium, pakiet, rozszerzenie lub inny artefakt dostępny publicznie.
Kolejny etap polega na umieszczeniu w kontrolowanym zasobie treści zaprojektowanej pod pośredni prompt injection. Nie musi to oznaczać klasycznego exploita. Wystarczy, że agent odczyta spreparowane instrukcje i uzna je za wiarygodne polecenia operacyjne. W środowisku z dostępem do terminala, systemu plików lub mechanizmów instalacji taki tekst może przełożyć się na realne wykonanie działań.
To istotna zmiana z perspektywy obrony. W tym modelu nośnikiem ataku nie jest wyłącznie plik wykonywalny czy pakiet z wykrytą sygnaturą, ale sama treść interpretowana przez agenta AI. Oznacza to, że tradycyjne narzędzia detekcji mogą nie wychwycić zagrożenia odpowiednio wcześnie.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem HalluSquattingu jest możliwość zamiany błędu modelu w kanał dystrybucji malware. Jeśli ten sam fałszywy identyfikator jest sugerowany wielu użytkownikom, pojedynczy zarejestrowany zasób może stać się punktem wejścia do wielu środowisk jednocześnie.
Ryzyko szczególnie rośnie tam, gdzie organizacja dopuszcza automatyczne wykonywanie poleceń przez asystentów AI bez wyraźnej akceptacji człowieka. Dotyczy to stacji roboczych deweloperów, środowisk CI/CD, serwerów buildowych oraz systemów z dostępem do tokenów, kluczy chmurowych i wewnętrznych repozytoriów.
- kradzież poświadczeń i sekretów,
- modyfikacja kodu źródłowego,
- instalacja backdoorów,
- sabotaż procesu budowania i wdrażania,
- włączenie hosta do botnetu.
Problem jest trudny do usunięcia pojedynczą poprawką, ponieważ wynika z kombinacji kilku czynników: halucynacji modelu, otwartych platform publikacji, nadmiernych uprawnień agentów i automatyzacji wykonywania poleceń.
Rekomendacje
Podstawą ograniczania ryzyka jest zmniejszenie autonomii agentów AI w operacjach typu fetch, install, clone i run. Asystent nie powinien samodzielnie pobierać ani uruchamiać zewnętrznych zasobów bez dodatkowej walidacji oraz kontroli człowieka.
- wyłączyć lub mocno ograniczyć tryby auto-run i unattended execution,
- wymagać ręcznego zatwierdzania instalacji, klonowania i uruchamiania skryptów,
- weryfikować nazwę zasobu względem oficjalnego źródła i właściciela projektu,
- stosować listy dozwolonych repozytoriów, rejestrów pakietów i marketplace’ów,
- izolować środowiska agentów od krytycznych systemów i sekretów,
- monitorować działania agentów na poziomie terminala, plików i ruchu sieciowego,
- skanować pobierane treści pod kątem prompt injection oraz podejrzanych instrukcji,
- szkolić zespoły, by traktowały sugestie AI jako wskazówkę wymagającą potwierdzenia.
Po stronie dostawców narzędzi ważne jest też oparcie działania modelu na zweryfikowanych wynikach wyszukiwania i sprawdzonych źródłach. Agent powinien najpierw potwierdzić istnienie zasobu, a dopiero później przechodzić do pobrania lub uruchomienia.
Podsumowanie
HalluSquatting pokazuje, że zagrożenia związane z asystentami AI wykraczają daleko poza błędne odpowiedzi czy problemy z jakością generowanych treści. Gdy model ma dostęp do narzędzi wykonawczych, halucynacja nazwy może stać się praktycznym wektorem kompromitacji.
Dla organizacji to wyraźny sygnał, że wdrażanie AI do developmentu i administracji wymaga silnych mechanizmów kontroli. Najważniejsza zasada pozostaje niezmienna: agent nie powinien bez nadzoru pobierać i uruchamiać czegokolwiek, czego autentyczność nie została niezależnie potwierdzona.
Źródła
- New HalluSquatting Attack Could Trick AI Coding Assistants Into Installing Botnet Malware — https://thehackernews.com/2026/07/new-hallusquatting-attack-could-trick.html
- HalluSquatting Research Page — https://sites.google.com/view/hallusquatting/home
- Aikido Security: Hallucinations in Code Recommendations — https://www.aikido.dev/blog/hallucinations-in-code-recommendations
- Palo Alto Networks Unit 42: Phantom Squatting — https://unit42.paloaltonetworks.com/phantom-squatting/
- Trail of Bits: Are AI Agent Marketplaces Ready for Malicious Skills? — https://blog.trailofbits.com/2026/06/11/are-ai-agent-marketplaces-ready-for-malicious-skills/