Три атаки, три имена и един идентичен дефект: кодиращите агенти с изкуствен интелект третират халюциниран идентификатор като проверена команда.

Автор: Шейн Уордън, главен архитект в ActiveState

Помолете кодиращ агент с ИИ да изтегли даден инструмент. Понякога той връща име, което звучи правилно, но не съществува. В миналото разработчиците игнорираха тази грешка, като приемаха, че компилаторът или тестът ще я спрат. За съжаление, това предположение е опасно и погрешно.

На практика сега даваме администраторски достъп (root) на езикови модели, които понякога просто налучкват думи, а атакуващите знаят как да използват това срещу нас.

Атаката протича по следния начин: атакуващият може да изчисли URL адресите, имената на софтуерните библиотеки и други изходни данни, които един голям езиков модел (LLM) ще генерира и впоследствие ще опита да достъпи по някакъв начин. Атакуващият взима това име, след което поставя капан и чака. На тях не им е нужно да крадат пароли. Не им е нужно да изпращат фишинг имейли.

Не им е нужен човек, който да кликне върху връзка. Нуждаят се от някого, някъде, който да даде разрешение на автоматизиран процес да изтегли злонамерен код.

Изследователи от Телавивския университет, Технион и Intuit публикуваха научен доклад на 8 юли 2026 г. Екипът, ръководен от Ая Спира в групата на Бен Наси, доказа, че тези фалшиви имена са предвидими.

Те тестваха множество подкани (prompts) в Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI и OpenClaw. Моделите халюцинираха идентични имена в до 85% от случаите при заявки за хранилища. Те халюцинираха идентични имена в 100% от случаите при инсталиране на умения (skills).

„Slopsquatting експлоатира фалшиво име на пакет. Phantom squatting експлоатира фалшив домейн. HalluSquatting експлоатира фалшиво хранилище или умение“, казва Уордън. „Във всеки случай агентът се доверява на име, което никой не е проверил.“

Този път печалбата е ботнет

Това сравнение омаловажава новото тук. Slopsquatting и phantom squatting вкарват код на атакуващия само на една машина в даден момент. HalluSquatting се мащабира много повече за киберпрестъпниците, тъй като агентът извършва доставката – дейност, за която операторът на ботнет преди се нуждаеше от реално компрометиране на машината.

Няма откраднати пароли, няма червеи, пълзящи от устройство на устройство, и няма единна операционна система, която да бъде цел. Всяка машина, работеща с изложен на риск агент, може да бъде цел.

Изследователите са създали тази атака специално за да демонстрират, че тя се повтаря в голям мащаб, поради което третират собствените си данни като минимум, а не като таван: „Атаките винаги стават по-добри“, пишат те. „Те никога не стават по-лоши.“

Вашите скенери показват зелено. Но вашият конвейер може да не е.

Cordyceps премина всяка проверка, защото нито един отделен файл с работния процес не беше грешен – уязвима беше самата композиция.

Вижте как да затворите тази пропаст, като управлявате това, което влиза във вашата компилация от самия източник, а не само това, което преминава сканирането.

Третият път е модел на поведение, а не съвпадение

Екипите за сигурност са наблюдавали този пропуск три пъти в рамките на шест месеца.

Януари 2026 г. (Slopsquatting): Чарли Ериксен от Aikido Security засече агенти с ИИ да се опитват да инсталират фалшив npm пакет с име react-codeshift в 237 проекта. Той регистрира името, за да попречи на атакуващите да го вземат.

Юни 2026 г. (Phantom Squatting): Unit 42 в Palo Alto Networks откри 250 000 домейна, които езиковите модели халюцинират. Всеки може да регистрира тези домейни.

Юли 2026 г. (HalluSquatting): Изследователският екип на Спира показа как атакуващите могат да поемат контрол над ИИ агенти, като предявяват права върху предвидими имена предварително.

Всяка атака се основава на един и същ основен дефект. Системата се доверява на име, което моделът е генерирал, без да провери дали някой го е верифицирал и валидирал.

Провал на принципа на проектиране: Късно обвързване

Този проблем произтича от два свързани въпроса.

Първо, езиковите модели генерират своите резултати въз основа на вероятности. При правилни входящи данни те ще произведат предвидими резултати (не детерминистични, разбира се, но докладът показва, че те са достатъчно предвидими, за да създадат вектори за атака). Това ми напомня за rainbow tables (дъгови таблици), където можете предварително да генерирате резултатите от хешовете на пароли.

Не е необходимо да знаете нечия парола, ако можете да получите (несигурния) хеш и знаете входни данни, които създават този хеш.

Второ, разработчиците изграждат и изпълняват код и конвейери, които изпълняват команди въз основа на генерирания изход от тези езикови модели. Освен ако не сте много внимателни, вашите агенти ще изпълнят код или ще извлекат данни, преди да са имали възможност да проучат и проверят източника на този код и данни.

В софтуерната архитектура този вид късно обвързване (late binding) предлага гъвкавост. В архитектурата за сигурност доверието в непроверен външен източник на данни създава огромна уязвимост. Опасността живее в пролуката между генерирането на текст и изпълнението на код. Това, което е било безопасно и вярно, може да се е променило от последната ви проверка вчера (или преди един час).

Разработчиците бързат да доставят продукти по-бързо. Те третират инфраструктурата за компилиране като инструменти за еднократна употреба, дори когато предоставят на тези инструменти широки разрешения за изтегляне, промяна и внедряване на неща. Те са автоматизирали typosquatting атаките и объркването на зависимостите (dependency confusion).

Когато агентите вече имат разрешение да извличат и изпълняват код без достатъчен човешки преглед, вашите рискове от атаки растат.

Рискът се разпростира надолу по...