HalluSquatting, abbreviazione di adversarial hallucination squatting (squatting allucinatorio avversariale), è un attacco in cui qualcuno registra i nomi di repository, pacchetti o skill che un modello di IA potrebbe inventare, per poi attendere che un agente vada a cercarli. L'agente crede di scaricare un progetto reale, ma in realtà riceve contenuti controllati dall'attaccante, contenenti istruzioni che l'agente esegue poi tramite il proprio terminale. Funziona su larga scala perché le allucinazioni non sono casuali: gli stessi nomi inventati si ripetono tra i modelli e tra le diverse esecuzioni, quindi possono essere previsti e registrati in anticipo. HalluSquatting sta al typosquatting come un agente sta a uno sviluppatore. Uno aspetta che un essere umano commetta un errore di battitura. L'altro aspetta che una macchina immagini.
Cos'è l'HalluSquatting? Una definizione operativa #
Gli attacchi alla catena di approvvigionamento hanno sempre avuto bisogno di un errore per poter colpire. Il typosquatting richiede che qualcuno digiti per sbaglio il nome di un pacchetto. La confusione delle dipendenze richiede che un resolver preferisca il registro pubblico a quello privato. Entrambi attendono un errore che prima o poi verrà commesso.
HalluSquatting non aspetta un errore. Aspetta un'invenzione.
Quindi, la definizione operativa è la seguente: HalluSquatting è un attacco alla catena di fornitura in cui un avversario preregistra gli identificatori di risorse che i modelli linguistici di grandi dimensioni hanno una probabilità statistica di falsificare, in modo che quando un agente di intelligenza artificiale recupera la risorsa inventata, recuperi contenuti controllati dall'attaccante invece di un progetto legittimo. La risorsa può essere un repository GitHub, un pacchetto su un registro pubblico, un plugin o una skill di un agente. Ciò che hanno in comune è che l'agente ha richiesto qualcosa per nome, e il nome apparteneva a qualcuno che si aspettava la chiamata.
La tecnica è stata formalmente descritta in Attenzione alle botnet agentiche: attacchi promptware scalabili e non mirati tramite HalluSquatting avversario universale e trasferibile., pubblicato l'8 luglio 2026 da ricercatori dell'Università di Tel Aviv, del Technion e di Intuit. L'impostazione del documento è importante quanto il meccanismo. Descrive un attacco non mirato: l'avversario non ha bisogno di un canale per raggiungere una vittima specifica. Nessuna email, nessun messaggio, nessun accesso. Registrano i nomi e lasciano che sia l'ecosistema a occuparsi della consegna.
Allucinazione accovacciata, divisa nelle sue tre parti #
Il nome completo spiega il meccanismo meglio di quello abbreviato, quindi vale la pena smontarlo.
- Allucinazione. Quando un modello si trova di fronte a una richiesta insolita, non afferma di non saperlo. Produce qualcosa di plausibile. Se gli viene chiesto il repository di uno strumento che non ha mai visto, costruisce un proprietario e un nome di progetto credibili, nella forma che tali identificatori assumono normalmente.
- Accovacciarsi. La stessa logica del typosquatting e del cybersquatting. Occupare un nome prima che lo faccia il legittimo proprietario, o prima che qualcuno si accorga che non è mai stato rivendicato.
- Avversario. È questo che trasforma un fastidio in un attacco. L'attacco simulato, basato su semplici allucinazioni, è opportunistico: si registrano i nomi che un modello tende a preferire, poi si spera. La versione avversaria è deliberata e utilizza trigger universali e trasferibili che indirizzano i modelli verso uno specifico nome scelto dall'attaccante. Questo elimina l'attesa e rende l'attacco ripetibile.
In sintesi, il significato di HalluSquatting in una sola frase: fai in modo che la modella inventi un nome che già possiedi, poi lascia che l'agente lo utilizzi.
Perché le allucinazioni sono abbastanza prevedibili da poter essere coltivate? #
L'obiezione istintiva è che le allucinazioni sono casuali, quindi non si può costruire nulla su di esse. Le misurazioni dicono il contrario, e questo è l'aspetto più importante da comprendere riguardo a cosa sia HalluSquatting.
| Scenario | Cosa significa | Tasso di allucinazioni |
|---|---|---|
| Richieste di installazione delle competenze | L'agente inventa l'identificativo ogni volta che gli viene richiesto | Fino all'100% |
| Richieste di clonazione del repository | Chiedere a un agente di clonare un progetto è un lancio di moneta truccato a tuo sfavore | Fino all'85% |
| Repository pubblicati nel 2025 | I progetti recenti sono quasi sempre inventati piuttosto che ritirati | 92.4% in media |
| Repository pubblicati nel 2019 o prima | I progetti consolidati vengono riprodotti in modo affidabile. La recenza è la variabile | 0.9% in media |
Due schemi sono all'origine del danno. In primo luogo, la recentezza alimenta la falsificazione. I modelli riproducono in modo affidabile gli identificativi di progetti consolidati da tempo e inventano gli identificativi di quelli più recenti con una frequenza che si avvicina alla certezza. Tutto ciò che è apparso dopo la data limite di addestramento è uno spazio vuoto che il modello riempie. In secondo luogo, le allucinazioni si trasferiscono. Gli stessi nomi falsificati si ripetono in diversi modelli di base e in esecuzioni ripetute, quindi un attaccante non ha bisogno di sapere quale assistente utilizza una vittima. Un nome registrato ne copre diversi.
È questa combinazione che trasforma una stranezza in un'infrastruttura. Un nome inventato una sola volta da un singolo modello è una curiosità. Un nome inventato in modo coerente, da diversi modelli, ogni volta che qualcuno chiede informazioni su uno strumento di tendenza, è un canale di distribuzione.
Come funziona un attacco HalluSquatting? #
La catena è composta da cinque anelli, e la cosa notevole è la scarsità di azioni compiute dall'attaccante dopo la fase di configurazione.
1. Prevedi. I profili degli attaccanti indicano quali modelli di identificatori fabbricano per una determinata classe di richieste: clona questo repository, installa questa skill, aggiungi questo pacchetto. Le risorse recenti e di tendenza offrono il rendimento più elevato.
2. Registrati. Rivendicano quei nomi sulla piattaforma reale. Il repository esiste. Il pacchetto viene risolto. Nulla fallisce un controllo di esistenza di base, perché la risorsa esiste realmente.
3. Seme. La risorsa è piena di contenuti scritti per essere letti come istruzioni da un modello: un prompt avversario in un README, un file di configurazione, la documentazione o la descrizione della risorsa. Questo è promptware ed è strettamente correlato all'indiretto iniezione tempestivaIl contenuto utile non è principalmente codice, bensì un linguaggio destinato a qualsiasi dispositivo lo legga in seguito.
4. Recupera. Uno sviluppatore chiede a un agente di clonare il repository o di installare la skill. L'agente, a causa di un'allucinazione, accede alla risorsa dell'attaccante e ne recupera il contenuto, presentandolo come materiale che gli era stato richiesto di scaricare.
5. Eseguire. Le istruzioni incorporate dirottano l'esecuzione dell'agente. Poiché gli agenti attuali sono dotati di terminali integrati, il risultato dimostrato è stato l'esecuzione remota di strumenti e di codice, culminata con l'installazione di un bot sull'host.
Quest'ultimo collegamento è ciò che dà il titolo alla ricerca. Ogni macchina compromessa entra a far parte di una botnet agentica: una rete che si diffonde non tramite vulnerabilità o credenziali deboli, ma attraverso agenti che leggono istruzioni che non avrebbero mai dovuto seguire, su macchine che nessuno aveva preso di mira direttamente.
HalluSquatting vs Typosquatting vs Slopsquatting #
Questi tre termini vengono spesso usati in modo intercambiabile, ma non sono la stessa cosa. La differenza sta in chi commette l'errore e in cosa succede dopo.
| Tecnica | Chi commette l'errore? | Ciò che aspetta l'attaccante |
|---|---|---|
| Typosquatting | Un essere umano che digita in modo errato o ricorda male un nome reale | Un errore di battitura su un nome che esiste davvero |
| Slopsquatting | Un modello, inventando un nome di pacchetto che uno sviluppatore poi installa | Uno sviluppatore che si fida del consiglio di un assistente. |
| HalluSquatting | Un modello, inventando una risorsa che un agente poi recupera ed esegue | Niente. L'agente recupera, legge ed esegue in autonomia. |
Lo Slopsquatting è il parente più prossimo e l'antenato comune: i modelli di registrazione dei nomi dei pacchetti hanno allucinazioni, aspettano che qualcuno esegua l'installazione. HalluSquatting lo intensifica in due direzioni. L'obiettivo si sposta dallo sviluppatore all'agente, eliminando completamente il controllo umano. E l'atteggiamento passa da opportunistico ad ostile, perché il nome può essere indirizzato anziché semplicemente sperato.
Il cambiamento è più importante per i team che già lo fanno codifica agentica, dove il decisione, la ricerca e l'esecuzione avvengono in un unico passaggio all'interno di un processo richiesto dallo sviluppatore e che non sta più monitorando.
Perché i controlli esistenti non lo rilevano #
Qui, ogni presupposto alla base dei metodi convenzionali di selezione della catena di approvvigionamento viene ribaltato, ed è proprio questo l'aspetto più scomodo.
Il filo conduttore è che ognuno di questi controlli chiede, in una forma o nell'altra, "qualcuno ha già visto questo nome?". Per un nome registrato quattro ore prima, la risposta onesta è no, e un no non è sufficiente per bloccare l'utente.
Chiudere la finestra prima che l'agente la apra #
La domanda utile non è se i tuoi sviluppatori cadrebbero nella trappola di un nome di pacchetto inventato. È se qualcosa nel tuo pipeline noterebbe una dipendenza vecchia di quattro ore, senza cronologia, aggiunta da un agente anziché da una persona.
Tre controlli chiudono la maggior parte di quella finestra, e nessuno di essi richiede di indovinare quali nomi ha registrato un utente malintenzionato.
Considera età e provenienza come un filtro. Una risorsa creata ore fa e scaricata da un agente è una proposta diversa da una con cinque anni di storia, e l'età del pacchetto funziona molto meglio come input per le policy che come metadati che nessuno legge. Filtra in base al comportamento invece che alla reputazione, perché un nome appena registrato supera sempre un controllo "qualcuno l'ha già visto?" e non supera mai un controllo "cosa fa effettivamente?". E imponi dove avviene l'installazione, poiché il decisIl punto di ionizzazione si è spostato sulla macchina dello sviluppatore e sul terminale dell'agente, e un controllo che viene eseguito solo in CI arriva dopo che il codice è già stato eseguito localmente.
Xygeni opera a quel livello. Avviso tempestivo di malware controlla i pacchetti in base al comportamento piuttosto che alla reputazione, segnalando quelli dannosi prima che esista una firma, che è l'unica condizione in base alla quale un nome registrato stamattina viene rilevato stamattina. I risultati settimanali sono pubblicati apertamente nel Digest del codice dannoso. Shield applica le policy direttamente sull'endpoint dello sviluppatore, inclusi i requisiti di età minima per i pacchetti e il blocco delle installazioni dannose, in modo che un agente non possa scaricare qualcosa nel momento stesso in cui lo immagina. DeviAI si applica guardrails all'interno dell'IDE e all'interno dell'agente di codifica, rivedendo ciò che l'agente aggiunge prima che diventi un commitE continuo Scoperta di risorse basate sull'IA mappa gli agenti, le competenze e i server MCP già in esecuzione nei tuoi repository, perché la prima domanda che questo attacco solleva è quella a cui la maggior parte dei team non sa rispondere: cosa sta recuperando i dati per nostro conto e sotto l'autorità di chi?
Contatto per vedere quanto stanno guadagnando i tuoi agenti.
FAQ: Cos'è l'HalluSquatting, in breve #
Un malintenzionato registra i nomi falsi che i modelli di intelligenza artificiale tendono a inventare, in modo che quando un agente li cerca trovi il contenuto del malintenzionato invece del progetto reale. L'errore del modello diventa il meccanismo di distribuzione.
Principalmente. Il red teaming LLM si concentra sui modelli linguistici e sulle applicazioni basate su di essi. Il red teaming AI è che l'allucinazione viene guidata piuttosto che semplicemente sfruttata. Invece di registrare nomi che i modelli tendono a favorire e aspettare, la ricerca ha dimostrato dei trigger che inducono gli agenti a fabbricare un nome specifico scelto dall'attaccante su richiesta, e che funzionano con modelli diversi.
No. Il typosquatting sfrutta l'errore umano, un nome digitato male o ricordato in modo errato. L'hallucination squatting sfrutta la creazione automatica, un nome che non è mai esistito e che nessun essere umano ha mai digitato. Il rilevamento della somiglianza dei nomi non serve a nulla in questo caso, perché il nome creato artificialmente non è una semplice coincidenza.
Si sovrappongono, e lo slopsquatting è nato prima. Lo slopsquatting di solito consiste nel registrare nomi di pacchetti inventati e aspettare che uno sviluppatore ne installi uno su consiglio di un assistente. HalluSquatting è l'escalation agentica: l'agente scarica ed esegue autonomamente, l'allucinazione può essere indotta anziché attesa, e l'obiettivo finale dimostrato è l'esecuzione di codice remoto e l'installazione di botnet.
Scopri cosa i tuoi agenti possono scaricare e installare senza l'intervento umano, quindi aggiungi un controllo di età e comportamento. Entrambe sono questioni di configurazione, a cui si può rispondere questa settimana, e nessuna delle due richiede di sapere quali nomi un attaccante ha già registrato.
