HalluSquatting – jak AI może pobrać złośliwe oprogramowanie przez pomyłkę

Halucynacje sztucznej inteligencji – zjawisko, w którym model z pełnym przekonaniem podaje nieprawdziwe informacje – mogą mieć znacznie poważniejsze konsekwencje niż błędna odpowiedź na pytanie. Zespół badaczy z Tel Aviv University, Technion oraz Intuit odkrył metodę, która zamienia tę słabość w precyzyjne narzędzie do dystrybucji złośliwego oprogramowania. Technika nazwana HalluSquatting wykorzystuje skłonność modeli AI do wymyślania adresów repozytoriów i pakietów, a następnie podmienia je na kontrolowane przez atakującego zasoby.

Atak nie wymaga od ofiary żadnego błędu. Asystent AI sam tworzy nieistniejącą nazwę, a potem – na podstawie własnego zmyślenia – pobiera i uruchamia kod. Dla programistów korzystających z narzędzi wspomagających kodowanie to sygnał, że nawet zaufane asystenty mogą stać się wektorem zagrożenia.

Czym dokładnie jest HalluSquatting i jak działa

Sercem ataku jest standardowa halucynacja AI. Gdy prosisz asystenta o pobranie konkretnego projektu, a model nie zna oficjalnego adresu repozytorium, zgaduje. Badacze odkryli, że modele często powtarzają te same wymyślone nazwy przy różnych zapytaniach. Atakujący może więc wielokrotnie pytać model o popularne narzędzie, zidentyfikować regularnie pojawiający się fałszywy adres i zarejestrować go jako prawdziwe repozytorium.

Proces krok po kroku

Najpierw napastnik wybiera projekt lub umiejętność AI, która zyskuje popularność. Im mniej informacji o nim w danych treningowych modelu, tym większa szansa na halucynację. Następnie bada, jak różne modele reagują na prośbę o zlokalizowanie tego zasobu. Gdy znajdzie powtarzalną fałszywą nazwę, tworzy repozytorium, pakiet lub umiejętność pod tą właśnie nazwą. Wewnątrz plików instalacyjnych, skryptów konfiguracyjnych lub dokumentacji umieszcza złośliwe instrukcje.

Gdy użytkownik poprosi asystenta o pobranie prawdziwego narzędzia, model przywołuje wymyśloną nazwę i pobiera pliki z kontrolowanego przez atakującego źródła. Jeśli asystent ma dostęp do terminala, może również wykonać ukryte komendy. Ofiara nigdy nie wpisuje błędnej nazwy – to AI popełnia błąd i działa na jego podstawie.

Dlaczego agenci AI czynią to zagrożenie poważniejszym

Podstawowe chatboty ograniczają się do wyświetlenia linku. Użytkownik klika, widzi, że strona nie działa, i zamyka kartę. Agent autonomiczny – narzędzie AI, które potrafi samodzielnie przeglądać strony, pobierać pliki i uruchamiać komendy w terminalu – działa zupełnie inaczej.

Te zaawansowane asystenty (określane jako agentic AI) oferują ogromną wygodę, ale jednocześnie dają atakującemu znacznie większe pole manewru. Badacze udowodnili, że złośliwe instrukcje umieszczone w „squatowanym” zasobie mogą doprowadzić do zdalnego wykonania kodu lub narzędzi na komputerze ofiary. Stopień zagrożenia zależy od uprawnień agenta – im szerszy dostęp do plików i możliwość wykonywania komend bez zatwierdzenia, tym większe ryzyko.

Wyniki testów – alarmujące wskaźniki halucynacji

Zespół przetestował szereg popularnych narzędzi: Cursor (w tym wersję CLI), Windsurf, GitHub Copilot, Cline oraz Gemini CLI, a także OpenClaw i inne osobiste asystenty AI. W scenariuszach klonowania repozytoriów wskaźnik halucynacji sięgał 85%. W testach instalacji umiejętności AI osiągnął nawet 100%.

Co więcej, wymyślone nazwy często pojawiały się w kilku różnych modelach jednocześnie. Oznacza to, że ten sam fałszywy adres może zwieść wiele systemów AI. Badaczom udało się przeprowadzić zdalne wykonanie kodu w produkcyjnych aplikacjach AI wyposażonych w zintegrowane terminale. Należy jednak podkreślić, że używali kontrolowanych zasobów i nieszkodliwych ładunków testowych – nie udokumentowano powszechnej kampanii przestępczej.

Jak wyszukiwanie w sieci może zmniejszyć ryzyko

Badacze wskazują na jedno proste działanie, które znacząco ogranicza zagrożenie. Asystent AI powinien przed pobraniem repozytorium lub pakietu przeprowadzić wyszukiwanie w sieci. Taka weryfikacja pozwala sprawdzić, czy zasób faktycznie istnieje i kto jest jego właścicielem. Niestety, wiele narzędzi pomija ten krok i opiera się wyłącznie na danych treningowych.

Gdy projekt jest mało znany, model generuje przekonującą, ale fałszywą odpowiedź. Eksperci ds. bezpieczeństwa zalecają, aby agenty AI zawsze wykonywały wyszukiwanie na żywo przed klonowaniem, pobieraniem lub instalowaniem zewnętrznych zasobów. Nawet samo wyszukiwanie nie daje jednak gwarancji – atakujący mógł już zarejestrować halucynowaną nazwę. Konieczne jest więc również sprawdzenie historii konta i powiązania z oficjalnym deweloperem.

Praktyczne kroki ochrony przed HalluSquattingiem

Ochrona przed tym typem ataku wymaga połączenia dobrych nawyków, odpowiednich uprawnień i narzędzi bezpieczeństwa. Oto najważniejsze działania, które możesz podjąć:

Weryfikuj oficjalne repozytorium przed pobraniem. Nie ufaj nazwie wygenerowanej przez AI. Wejdź na oficjalną stronę dewelopera i z niej przejdź do repozytorium. Sprawdź właściciela konta i historię projektu – nowo utworzone konto z niewielką aktywnością powinno wzbudzić czujność.

Każ każdemu asystentowi najpierw wyszukać, potem instalować. Poproś narzędzie o przeprowadzenie wyszukiwania na żywo przed pobraniem i pokazanie ci oficjalnego adresu. Samodzielnie porównaj wynik z witryną dewelopera.

Wyłącz automatyczne zatwierdzanie komend. Unikaj trybów, w których agent wykonuje polecenia terminalowe bez pytania. Wymagaj zatwierdzenia dla każdej komendy, zwłaszcza gdy AI pobiera zewnętrzne pliki. Jeśli asystent nie potrafi jasno wyjaśnić, co dane polecenie zrobi – przerwij proces.

Przeglądaj każdą komendę przed zatwierdzeniem. Zachowaj ostrożność, gdy polecenie łączy się z nieznaną stroną, pobiera dodatkowy skrypt lub zmienia ustawienia bezpieczeństwa. Nie akceptuj komendy tylko dlatego, że AI twierdzi, iż jest bezpieczna.

Ogranicz uprawnienia agenta. Nie uruchamiaj asystenta kodowania z dostępem administratora, chyba że jest to absolutnie konieczne. Przyznaj mu dostęp tylko do plików potrzebnych w bieżącym projekcie. Dokumenty osobiste, dane podatkowe i prywatne zdjęcia trzymaj poza jego folderami roboczymi.

Używaj izolowanego środowiska. Testuj nieznany kod wygenerowany przez AI w maszynie wirtualnej, kontenerze deweloperskim lub piaskownicy. W razie problemów złośliwa aktywność może pozostać zamknięta w tym środowisku.

Zainstaluj solidne oprogramowanie antywirusowe. Dobre narzędzie bezpieczeństwa może wykryć podejrzane pobranie, nietypowy skrypt lub próbę zmiany systemu. Pamiętaj jednak, że antywirus nie zastąpi weryfikacji źródła i przeglądu komend.

Chroń hasła i klucze API. Nie przechowuj poufnych danych w jawnych plikach projektu. Korzystaj z bezpiecznych zmiennych środowiskowych lub menedżera sekretów. Używaj silnych haseł i włącz uwierzytelnianie dwuskładnikowe.

Aktualizuj oprogramowanie i narzędzia AI. Łaty mogą naprawić luki bezpieczeństwa lub dodać lepsze mechanizmy zatwierdzania. Pamiętaj jednak, że same aktualizacje nie wyeliminują ryzyka związanego z halucynacjami.

Monitoruj aktywność agenta. Jeśli narzędzie oferuje historię działań, przeglądaj ją regularnie. Szukaj nieoczekiwanych pobrań lub komend, których nie pamiętasz. Nowe oprogramowanie, nietypowe wyskakujące okna czy spowolnienie komputera mogą być sygnałem ostrzegawczym.

Co mogą zrobić firmy tworzące narzędzia AI

Producenci asystentów AI mogą wdrożyć kilka kluczowych zabezpieczeń. Przede wszystkim powinni uczynić wyszukiwanie obowiązkowym przed pobraniem zewnętrznych zasobów. Kolejnym krokiem jest wymaganie ludzkiego zatwierdzenia przed uruchomieniem pobranego kodu. Silniejsze ostrzeżenia powinny pojawiać się, gdy zasób ma krótką historię lub pochodzi od niezweryfikowanego wydawcy.

Platformy z repozytoriami mogą identyfikować często halucynowane nazwy, zanim zrobią to atakujący. Warto również ograniczyć możliwość ponownego wykorzystania nazw znanych projektów przez niepowiązane konta. Warstwy bezpieczeństwa analizujące pobrane instrukcje również mogą pomóc, ale – jak ostrzegają badacze – żaden pojedynczy mechanizm nie usunie całkowicie ryzyka.

Zespół badawczy powiadomił dotkniętych producentów przed publikacją wyników i wstrzymał się z ujawnieniem szczegółów, które mogłyby zostać bezpośrednio wykorzystane przez cyberprzestępców. Artykuł nie potwierdza, że wszystkie testowane aplikacje wydały już kompletne łatki. HalluSquatting uwidacznia natomiast szerszą słabość – sposób, w jaki agenci AI generują nazwy zasobów i bezrefleksyjnie im ufają.

Wiemy już, że sztuczna inteligencja potrafi z pełnym przekonaniem zmyślać. HalluSquatting pokazuje, co się dzieje, gdy narzędzie AI działa na podstawie własnej błędnej odpowiedzi. Atak nie polega na tym, że ktoś każe ci wpisać zły adres – to asystent sam go wymyśla, a następnie nim dysponuje. Na razie nie ma dowodów, by HalluSquatting masowo infekował komputery na całym świecie. Jednak wraz z rosnącą autonomią agentów AI ta luka w zabezpieczeniach będzie wymagać poważnej uwagi ze strony producentów i użytkowników.

Póki co najskuteczniejszą strategią pozostaje nieufność. Nie dawaj asystentowi AI nieograniczonej swobody w instalowaniu oprogramowania i wykonywaniu komend. Weryfikuj każde źródło, trzymaj włączone mechanizmy zatwierdzania i traktuj solidne zabezpieczenia jako dodatkową warstwę ochrony. Im bardziej zaawansowane stają się nasze narzędzia, tym bardziej świadomie musimy z nich korzystać.