Тель-Авивский университет обнаружил атаку HalluSquatting, при которой иллюзии ИИ могут быть использованы для создания зомби-сетей

Университет Тель-Авива, Технион и исследователи Intuit в статье «Осторожно, агентские зомби-сети: масштабируемые неориентированные атаки Promptware через универсальный и переносимый противодействующий HalluSquatting» раскрыли новый тип атаки под названием «противодействующее галлюцинаторное захватывание (HalluSquatting)», использующий феномен галлюцинаций ИИ для обмана AI-агентов с целью загрузки вредоносного кода.

Механизм атаки HalluSquatting: принцип работы предсказания ресурсов галлюцинаций ИИ и их предварительной регистрации

По словам исследователей, шаги атаки HalluSquatting включают: злоумышленник предсказывает, что модель ИИ может сгенерировать ложные ссылки на репозитории программного обеспечения и онлайн-ресурсы, заранее регистрирует эти имена и внедряет вредоносные команды; когда AI-агент пытается получить эти галлюцинаторные ресурсы, он воспринимает управляемый злоумышленником контент как легальный и выполняет его.

Этот механизм похож на традиционный сетевой метод «Typosquatting» — использование ошибок при вводе доменных имен человеком, тогда как HalluSquatting нацелен на галлюцинации модели ИИ. По мере расширения функций AI-помощников от ответов на вопросы до доступа к файлам, поиску в сети, написанию кода и выполнению команд, масштаб угрозы значительно увеличился.

Тестовые данные: 85% репозиториев кода и 100% установки навыков

По результатам тестирования, уровень галлюцинаций при атаке HalluSquatting составляет:

Клонирование репозиториев кода: уровень галлюцинаций достигает 85%

Установка навыков: уровень галлюцинаций достигает 100%

Команда протестировала четыре основных AI-ассистента и агента:

Cursor: подвержен

GitHub Copilot: подвержен

Gemini CLI: подвержен

OpenClaw: подвержен

Часто задаваемые вопросы

Что такое атака HalluSquatting и чем она отличается от традиционных сетевых атак?

По словам исследователей, HalluSquatting — это предсказание ложных ссылок на ресурсы, которые модель ИИ может сгенерировать, и их предварительная регистрация с внедрением вредоносных команд; отличие от традиционного «Typosquatting» в том, что последнее использует ошибки при вводе человеком, а HalluSquatting нацелен на галлюцинации модели ИИ. Статья опубликована совместно университетом Тель-Авива, Технионом и исследователями Intuit.

Какие AI-инструменты подвержены атаке HalluSquatting?

По тестам исследователей, подвержены Cursor, GitHub Copilot, Gemini CLI и OpenClaw; уровень галлюцинаций при установке навыков достигает 100%, при клонировании репозиториев — 85%. Конкретные меры защиты и степень уязвимости зависят от официальных объявлений разработчиков инструментов.

Как HalluSquatting может привести к формированию AI-зомби-сетей?

По словам исследователей, если AI-агент при выполнении задачи обнаружит управляемый злоумышленником вредоносный ресурс и воспримет его как легальный, злоумышленник сможет дистанционно запускать код через этих агентов, создавая зомби-сеть из атакованных AI-агентов; такие сети могут использоваться для атак отказа в обслуживании, майнинга криптовалют, распространения вредоносных программ и программ-вымогателей. Конкретные сценарии описаны в статье.