Nowości
HalluSquatting: naukowcy pokazują, jak halucynacje AI stają się bramą dla malware
Badacze z Tel Awiwu, Technionu i Intuit opisali atak HalluSquatting, w którym przestępcy podszywają się pod pakiety i repozytoria zmyślane przez asystentów kodujących AI, a następnie wstrzykują przez nie złośliwy kod bezpośrednio na komputer ofiary.
Spis treści
Zespół badaczy z Uniwersytetu Tel Awiwskiego, Technionu i firmy Intuit opisał nową metodę ataku na asystentów kodujących oparte na AI, w której punktem wejścia dla złośliwego oprogramowania nie jest luka w kodzie, lecz sama skłonność modeli językowych do zmyślania nieistniejących pakietów i repozytoriów. Technikę nazwano HalluSquatting.
Jak działa atak
Mechanizm jest prosty i nie wymaga włamania się do żadnego systemu. Atakujący najpierw ustala, jakie nazwy pakietów lub repozytoriów asystenci AI regularnie halucynują, gdy proszeni są o pobranie popularnego czy trendującego zasobu. Następnie rejestruje te zmyślone nazwy jako prawdziwe repozytoria lub pakiety w publicznych rejestrach i umieszcza w nich złośliwy kod.
Kiedy użytkownik poleca asystentowi AI sklonowanie repozytorium albo zainstalowanie tzw. skilla, narzędzie może zamiast prawdziwego zasobu odtworzyć halucynację, pobrać spreparowany pakiet i wykonać zawarte w nim polecenia przez własny wbudowany terminal. Ofiara zwykle nie wie, że coś poszło nie tak, dopóki złośliwy kod nie zacznie działać.
Skala podatności
Najbardziej niepokojący jest nie sam mechanizm, lecz jego powtarzalność. W testach naukowców te same zmyślone nazwy pojawiały się wielokrotnie w różnych modelach bazowych, co oznacza, że atak nie jest przypisany do jednego dostawcy AI, tylko przenosi się między narzędziami budowanymi na różnych silnikach.
Wskaźniki sukcesu potwierdzają skalę problemu: przy prośbach o sklonowanie repozytorium ta sama błędna nazwa pojawiała się nawet w 85 procentach przypadków, a przy instalacji skilli asystenci konsekwentnie wybierali tę samą fabrykowaną nazwę w 100 procentach testów, niezależnie od sformułowania polecenia.
Wstrzyknięcie zamiast włamania
Kluczowy szczegół techniczny polega na tym, że złośliwe instrukcje działają przez pośrednie wstrzyknięcie polecenia (indirect prompt injection) - są osadzone w treści, którą asystent samodzielnie pobiera z sieci, a nie w poleceniu wpisanym przez użytkownika. To omija typowe założenia bezpieczeństwa, bo przejęte instrukcje wtapiają się w to, co model interpretuje jako legalne żądanie.
Badacze podkreślają, że skoro AI ma dostęp do terminala i uprawnień systemowych, złośliwe polecenia mogą posłużyć do pobrania dodatkowego malware lub narzędzi hakerskich, tworząc tak zwane agentywne botnety - sieci przejętych maszyn sterowane nie przez klasyczny kod, lecz przez podatność samego modelu na sugestię.
Ataki zawsze się poprawiają, nigdy się nie pogarszają - zespół badawczy, opisując HalluSquatting jako dolną granicę możliwości, nie sufit
Dlaczego to więcej niż kolejny atak na łańcuch dostaw
Podszywanie się pod nazwy pakietów, znane wcześniej jako typosquatting czy slopsquatting, nie jest nowością. Nowość polega na tym, że HalluSquatting nie wymaga literówki użytkownika ani błędu w kodzie - wystarczy, że model konsekwentnie halucynuje tę samą nieprawdziwą nazwę, a atakujący z góry wie, co zarejestrować. To przesuwa punkt ciężkości ataku z człowieka na samą architekturę asystenta.
Dla programistów i firm korzystających z Cursora, GitHub Copilota, Gemini CLI czy innych agentów kodujących oznacza to, że nawet ostrożny deweloper, który nie klika w podejrzane linki i nie kopiuje kodu ze stron trzecich, może paść ofiarą, jeśli po prostu zaufa sugestii własnego asystenta AI.
Skala problemu rośnie wraz z popularnością agentów kodujących - z badań przywoływanych już wcześniej wiadomo, że ponad 91 procent polskich programistów korzysta dziś z AI przy pisaniu kodu, a rosnące zaufanie do sugestii modeli jest właśnie tym, co HalluSquatting wykorzystuje jako lukę.
Co dalej
Naukowcy poinformowali producentów narzędzi, dostawców modeli i operatorów rejestrów pakietów przed publikacją wyników, a szczegóły umożliwiające bezpośrednie odtworzenie ataku celowo pominęli w raporcie. Nie ujawniono jednak, czy i jakie konkretne poprawki wdrożyły już Cursor, GitHub, Google czy twórcy OpenClaw.
Dla polskich firm i zespołów deweloperskich wnioski są praktyczne: weryfikacja pochodzenia pakietu przed instalacją, ograniczanie uprawnień terminala dostępnego dla asystentów AI oraz traktowanie sugestii modelu jako propozycji do sprawdzenia, a nie gotowego polecenia do wykonania, stają się elementem podstawowej higieny bezpieczeństwa przy pracy z agentami kodującymi.
