Изкуственият интелект (ИИ) асистентите за програмиране имат навика да си измислят неща. Помолете някой от тях да изтегли популярен инструмент и той понякога ще ви върне реално звучащо име на проект, който не съществува.

Ново проучване, което авторите му наричат HalluSquatting, превръща този навик в атака: установяват се фалшивите имена, които ИИ надеждно измисля, регистрират се предварително и се изчаква асистентът да изтегли капана от името на потребителя.

Всеки, чийто ИИ асистент може да изтегля външен ресурс и след това да изпълнява команди с малко човешки преглед, е изложен на риск. При тестове този път е накарал асистента да изпълни код, предоставен от атакуващия, на машината.

Ако това се повтори с достатъчно популярен ресурс, едно засадено име може да достигне до много машини, поради което изследователите го определят като начин за създаване на ботнет мрежа.

Атаката свързва две особености на ИИ. Първата е халюцинация: ИИ измисля нещо и го представя за истинско. Втората е вмъкване на подкана (prompt injection): капан с инструкции, който отвлича ИИ, така че той да следва атакуващия вместо потребителя. Тук вмъкването е от индиректен тип, идващо от съдържанието, което асистентът изтегля, а не от нещо, което потребителят въвежда.

Стъпките на атаката са следните:

  • Избор на цел: Атакуващият намира хранилище или плъгин, който е модерен (trending), така че много хора искат от своя ИИ да го изтегли. Популярността е важна, защото съвсем нов ресурс липсва в данните за обучение на ИИ, което е моментът, когато моделът започва да отгатва имена.
  • Изучаване на грешката: Атакуващият кара ИИ да изтегля този ресурс отново и отново и записва фалшивото име, което той измисля най-често.
  • Заемане на фалшивото име: Атакуващият регистрира това име в GitHub или магазин за плъгини и крие софтуерни инструкции в него.
  • Изчакване: Реален потребител иска от своя асистент да вземе популярния ресурс. Асистентът измисля същото фалшиво име и вместо това изтегля версията на атакуващия. Скритите инструкции се сливат с това, което асистентът смята, че му е казано да направи, и отвлеченият асистент използва собствения си инструмент за изпълнение на команди, за да ги извърши.

Капанът не е код, който се изпълнява сам. Той работи, защото тези асистенти поддържат терминал сред вградените си инструменти, така че след като засадените инструкции поемат контрола, „инсталирането на бот“ е просто нещо, което асистентът може да направи.

Това, което го прави практичен, е че фалшивите имена не са случайни. В експериментите на изследователите грешката е била постоянна: при различни формулировки и при модели от различни компании, асистентът е посягал към едно и също грешно име в до 85% от заявките за хранилища и 100% от инсталациите на умения.

Те са го тествали срещу инструменти, включително Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI на Google и фамилията асистенти OpenClaw, карайки всеки от тях да изпълни код на атакуващия. Тестовите товари са били безопасни контейнери, а не истински зловреден софтуер; реалният би поел по същия път.

Проучването идва от Ая Спира и колеги в групата на Бен Наси в Телавивския университет, със Став Коен в Технион и Рон Битон в Intuit. Групата на Наси е правила това и преди, създавайки саморазпространяващ се ИИ имейл червей и покана в календар, която отвлече Gemini на Google.

Екипът казва, че е уведомил засегнатите доставчици, създатели на модели и оператори на пазари, преди да направи информацията публична, и е спестил точните стъпки, необходими за копиране на атаката.

Традиционните ботнети изискват работа за изграждане. Те се опират на слаби пароли или зловреден софтуер, който се пренася от машина на машина. Този метод не се нуждае от нищо подобно. Без пароли, без пренасяне и тъй като полезният товар пристига като текст, който ИИ чете, а не като мрежов експлойт, той не е нещо, което защитната стена следи. Машините, на които се приземява, могат да работят с всякаква операционна система.

ИИ тук е транспортното средство, а не товарът. Засадените инструкции го подвеждат да инсталира обикновен бот и след като този бот заработи, машината принадлежи на ботнет мрежа като всяка друга.

Частите не са нови, дори комбинацията да е такава. Атакуващите първо се научиха да регистрират фалшиви имена на софтуерни пакети, които ИИ измисля – трик, наречен „slopsquatting“ (сляп сквотинг). През януари 2026 г. Чарли Ериксен от Aikido Security откри такъв измислен npm пакет, react-codeshift, който написани от ИИ инструкции вече бяха разпространили в 237 кодови проекта; той го регистрира сам, преди да го направи атакуващ, така че не бе причинена вреда. Идеята след това скочи от пакети към уеб адреси – т.нар. „фантом сквотинг“ (phantom squatting) с около 250 000 халюцинирани домейни, стоящи нерегистрирани.

HalluSquatting е версията, която достига чак до изпълнение на код чрез отвличане на агента, който извършва извличането.