L'HalluSquatting, abreviatura d'adversarial hallucination squatting (okupació d'al·lucinacions adversaries), és un atac en què algú registra els noms de repositori, paquet o habilitat que un model d'IA probablement inventarà i després espera que un agent en busqui un. L'agent creu que està obtenint un projecte real. En canvi, obté contingut controlat per l'atacant, transportant instruccions que l'agent executa a través del seu propi terminal. Funciona a escala perquè les al·lucinacions no són aleatòries: els mateixos noms fabricats es repeteixen en models i en execucions, de manera que es poden predir i registrar per endavant. L'HalluSquatting és a l'okupació tipogràfica el que un agent és a un desenvolupador. Un espera que un humà escrigui malament. L'altre espera que una màquina imagini.
Què és l'HalluSquatting? Una definició pràctica #
Els atacs a la cadena de subministrament sempre han necessitat un error per aterrar. El typosquatting necessita algú que manipuli el nom d'un paquet. La confusió de dependències necessita un resolutor que prefereixi el registre públic al privat. Tots dos esperen un error que finalment es produeixi.
L'HalluSquatting no espera un error. Espera una invenció.
Així doncs, la definició de treball: HalluSquatting és un atac de cadena de subministrament en què un adversari preregistra identificadors de recursos que estadísticament és probable que els models de llenguatge grans fabriquin, de manera que quan un agent d'IA obté el recurs inventat, recupera contingut controlat per l'atacant en lloc d'un projecte legítim. El recurs pot ser un repositori de GitHub, un paquet en un registre públic, un complement o una habilitat d'agent. El que comparteixen és que l'agent va demanar alguna cosa pel seu nom, i el nom pertanyia a algú que esperava la trucada.
La tècnica es va descriure formalment a Compte amb les botnets agentives: atacs de promptware escalables i no dirigits mitjançant hallusquatting adversari universal i transferible, publicat el 8 de juliol de 2026 per investigadors de la Universitat de Tel Aviv, el Technion i Intuit. L'enquadrament de l'article importa tant com el mecanisme. Descriu un atac no dirigit: l'adversari no necessita mai un canal per a cap víctima específica. Ni correu electrònic, ni missatge, ni accés. Registren noms i deixen que l'ecosistema faci el lliurament.
Al·lucinació en cuclillas, dividida en les seves tres parts #
El nom complet explica el mecanisme millor que el nom curt, per la qual cosa val la pena desmuntar-lo.
- Al·lucinació. Quan un model respon a una sol·licitud desconeguda, no diu que no ho sap. Produeix alguna cosa plausible. Quan se li demana el repositori d'una eina que no ha vist, construeix un propietari i un nom de projecte creïbles en la forma que normalment prenen aquests identificadors.
- Posar-se a la gatzoneta. La mateixa lògica que la typosquatting i la cibersquatting. Ocupar un nom abans que ho faci el seu reclamant legítim, o abans que algú s'adoni que mai va ser reclamat.
- Adversari. Això és el que converteix una molèstia en un atac. L'ocupació d'al·lucinacions simple és oportunista: registra noms que un model tendeix a afavorir i després espera. La versió adversaria és deliberada, utilitzant desencadenants universals i transferibles que dirigeixen els models cap a un nom específic escollit per l'atacant. Això elimina l'espera i fa que l'atac sigui repetible.
En resum, el significat de HalluSquatting en una sola línia: fes que el model inventi un nom que ja tens i, a continuació, deixa que l'agent actuï en conseqüència.
Per què les al·lucinacions són prou previsibles per ser cultivades? #
L'objecció instintiva és que les al·lucinacions són aleatòries, de manera que no es pot construir res a partir d'elles. Les mesures diuen el contrari, i això és el més important que cal entendre sobre què és l'HalluSquatting.
| Escenari | Que significa | Taxa d'al·lucinacions |
|---|---|---|
| Sol·licituds d'instal·lació d'habilitats | L'agent inventa l'identificador cada vegada que se li demana. | Fins% 100 |
| Sol·licituds de clonació de repositoris | Demanar a un agent que cloni un projecte és com llançar moneda a la teva contra. | Fins% 85 |
| Repositoris publicats el 2025 | Els projectes recents gairebé sempre es fabriquen en lloc de ser recordats | mitjana del 92.4% |
| Repositoris publicats el 2019 o anteriors | Els projectes establerts es reprodueixen de manera fiable. La variable és la recentitat. | mitjana del 0.9% |
Dos patrons causen el mal. Primer, la recència impulsa la fabricació. Els models reprodueixen els identificadors de projectes establerts de manera fiable i inventen els identificadors dels recents a un ritme que s'acosta a la certesa. Qualsevol cosa que va aparèixer després del tall d'entrenament és un espai en blanc que el model omple. Segon, les al·lucinacions es transfereixen. Els mateixos noms fabricats es repeteixen en diferents models bàsics i en execucions repetides, de manera que un atacant no necessita saber quin assistent utilitza un objectiu. Un nom registrat en cobreix diversos.
Aquesta combinació és el que converteix una peculiaritat en infraestructura. Un nom inventat una vegada per una model és una curiositat. Un nom inventat de manera consistent, per diverses models, sempre que algú pregunta sobre una eina de tendència, és un canal de distribució.
Com funciona un atac de HalluSquatting? #
La cadena té cinc enllaços, i el més destacable és el poc que fa l'atacant després de la preparació.
1. Predir. Els perfils de l'atacant que fabriquen models d'identificadors per a una classe de sol·licitud determinada: clonar aquest repositori, instal·lar aquesta habilitat, afegir aquest paquet. Els recursos recents i de tendència donen el rendiment més alt.
2. Registre. Reclamen aquests noms a la plataforma real. El repositori existeix. El paquet es resol. Res falla en una comprovació bàsica d'existència, perquè el recurs existeix realment.
3. Llavor. El recurs s'omple amb contingut escrit per ser llegit com a instruccions per un model: un promptware adversari en un README, un fitxer de configuració, documentació o la descripció del recurs. Això és promptware i està estretament relacionat amb el programari indirecte. prompt injectionLa càrrega útil no és principalment codi, sinó llenguatge dirigit a qui la llegeixi a continuació.
4. Recollir. Un desenvolupador demana a un agent que cloni el repositori o instal·li l'habilitat. L'agent al·lucina amb el nom, aterra al recurs de l'atacant i n'extreu el contingut del seu propi context com a material que se li va demanar que recuperés.
5. Executar. Les instruccions incrustades segresten l'execució de l'agent. Com que els agents actuals s'envien amb terminals integrats, el resultat demostrat va ser l'execució remota d'eines i l'execució remota de codi, que va acabar amb un bot instal·lat a l'amfitrió.
Aquest darrer enllaç és el que dóna títol a la investigació. Cada màquina compromesa s'uneix a una botnet agentiva: una xarxa que es propaga no a través de vulnerabilitats o credencials febles, sinó a través d'agents que llegeixen instruccions que mai no haurien d'obeir, en màquines que ningú ha atacat directament.
HalluSquatting vs Typosquatting vs Slopsquatting #
Aquests tres termes s'utilitzen indistintament i no són el mateix. La diferència rau en qui comet l'error i què passa després.
| Tècnica | Qui comet l'error | Què espera l'atacant |
|---|---|---|
| typosquatting | Un humà que escriu malament o recorda malament un nom real | Una relliscada de dits en un nom que existeix |
| Agafades inclinades | Un model, inventant un nom de paquet que un desenvolupador després instal·la | Un desenvolupador que confia en la recomanació d'un assistent |
| HalluSquatting | Un model, inventant un recurs que un agent després obté i executa | Res. L'agent busca, llegeix i executa pel seu compte. |
L'"slopsquatting" és el parent més proper i l'avantpassat comú: els noms de paquets registrats, els models al·lucinen, esperen que algú executi la instal·lació. L'"halluSquatting" ho intensifica en dues direccions. L'objectiu es mou del desenvolupador a l'agent, cosa que elimina completament el control humà. I la postura passa d'oportunista a adversaria, perquè el nom es pot dirigir en lloc de simplement esperar-s'hi.
El canvi és més important per als equips que ja ho fan agentic coding, on el decisió, la cerca i l'execució es produeixen en un sol pas dins d'un procés que el desenvolupador ha sol·licitat i que ja no està observant.
Per què els controls existents ho passen per alt #
Totes les suposicions que hi ha darrere del cribratge convencional de la cadena de subministrament s'inverteixen aquí, que és la part incòmoda.
La idea principal és que tots aquests controls pregunten alguna versió de "algú ha vist això abans". Davant d'un nom registrat fa quatre hores, la resposta honesta és no, i no és un bloqueig.
Tancar la finestra abans que l'agent l'obri #
La pregunta útil no és si els vostres desenvolupadors s'enamoraria d'un nom de paquet inventat. És si hi ha alguna cosa al vostre pipeline notaria una dependència que té quatre hores d'antiguitat, no té historial i que ha estat afegida per un agent en lloc d'una persona.
Tres controls tanquen la major part d'aquesta finestra i cap d'ells requereix endevinar quins noms ha registrat un atacant.
Tracteu l'edat i la procedència com una porta. Un recurs creat fa hores i extret per un agent és una proposta diferent d'un amb cinc anys d'historial, i l'edat del paquet funciona molt millor com a entrada de política que com a metadades que ningú llegeix. Filtreu el comportament en lloc de la reputació, perquè un nom recentment registrat sempre passa una comprovació de "algú ha vist això?" i mai passa una de "què fa realment això?". I feu complir on es produeix la instal·lació, ja que la instal·lació...cisEl punt d'ió s'ha traslladat a la màquina del desenvolupador i al terminal de l'agent, i un control que només s'executa a CI arriba després del codi que ja s'ha executat localment.
Xígeni treballa en aquesta capa. Alerta precoç de programari maliciós examina els paquets pel seu comportament en lloc de la seva reputació, marcant els maliciosos abans que existeixi una signatura, que és l'única condició sota la qual un nom registrat aquest matí es detecta aquest matí. Els resultats setmanals es publiquen obertament a Resum de codi maliciós. Shield aplica la política al mateix punt final del desenvolupador, incloent-hi els requisits d'edat mínima per als paquets i el bloqueig d'instal·lacions malicioses, de manera que un agent no pot extreure alguna cosa en el moment que l'imagina. DevAI s'aplica guardrails dins de l'IDE i dins de l'agent de codificació, revisant el que afegeix l'agent abans que esdevingui un commitI continu Descobriment d'actius d'IA mapeja els agents, les habilitats i els servidors MCP que ja s'executen als vostres repositoris, perquè la primera pregunta que planteja aquest atac és la que la majoria dels equips no poden respondre: què està obtenint coses en nom nostre i sota l'autoritat de quina?
Reserva una demostració per veure què estan aconseguint els vostres agents.
Preguntes freqüents: Què és l'HalluSquatting, en respostes breus #
Un atacant registra els noms falsos que els models d'IA tendeixen a inventar, de manera que quan un agent en busca un, troba el contingut de l'atacant en lloc del projecte real. L'error del model es converteix en el mecanisme de lliurament.
Principalment. L'equip vermell de LLM se centra en els models de llenguatge i les aplicacions basades en ells. L'equip vermell d'IA és que l'al·lucinació es dirigeix en lloc de simplement explotar-la. En lloc de registrar noms que els models afavoreixen i esperar, la investigació va demostrar desencadenants que fan que els agents fabriquin un nom específic escollit per l'atacant a petició, i que funcionen en diferents models.
No. L'ocupació errònia de tipus "typosquatting" explota l'error humà, un nom mal escrit o mal recordat. L'ocupació errònia d'al·lucinacions explota la fabricació automàtica, un nom que mai va ser real i que cap humà va escriure mai. La detecció de similitud de noms no fa res aquí, perquè el nom fabricat no és un error proper.
Se superposen, i el primer va ser el slopsquatting. El slopsquatting normalment significa registrar noms de paquets al·lucinats i esperar que un desenvolupador n'instal·li un per recomanació d'un assistent. El HalluSquatting és l'escalada agentiva: l'agent busca i s'executa de forma autònoma, l'al·lucinació es pot induir en lloc d'esperar-la, i el punt final demostrat és l'execució remota de codi i la instal·lació de botnets.
Esbrineu què poden obtenir i instal·lar els vostres agents sense la intervenció d'un humà i, a continuació, poseu-hi una comprovació d'edat i comportament. Ambdues són preguntes de configuració, que es respondran aquesta setmana, i cap de les dues requereix saber quins noms ja ha registrat un atacant.
