HalluSquatting（敵対的幻覚スクワッティングの略）は、AIモデルが生成する可能性のあるリポジトリ、パッケージ、またはスキル名を登録し、エージェントがそれらを探し出すのを待つ攻撃です。エージェントは、実際のプロジェクトを取得していると思い込みますが、実際には攻撃者が制御するコンテンツを取得し、エージェントは自身の端末を通してその指示を実行します。幻覚はランダムではないため、この攻撃は大規模に機能します。同じ偽名が複数のモデルや実行で繰り返し出現するため、事前に予測して登録することができます。HalluSquattingは、タイポスクワッティングにおけるエージェントと開発者の関係に相当します。一方は人間の入力ミスを待ち、もう一方は機械の想像を待ちます。
ハルスクワッティングとは？ 定義 #
サプライチェーン攻撃は、常に何らかのミスを悪用して行われる。タイポスクワッティングは、パッケージ名の入力ミスを必要とする。依存関係の混乱は、リゾルバがプライベートレジストリよりもパブリックレジストリを優先することを必要とする。どちらも、何らかのエラーが発生するのを待つ。
HalluSquattingは、エラーを待つのではなく、発明を待つ。
つまり、HalluSquattingとは、サプライチェーン攻撃の一種で、攻撃者が大規模な言語モデルが統計的に偽造する可能性が高いリソース識別子を事前に登録し、AIエージェントが偽造されたリソースを取得する際に、正当なプロジェクトではなく攻撃者が制御するコンテンツを取得させる攻撃です。対象となるリソースは、GitHubリポジトリ、公開レジストリ上のパッケージ、プラグイン、エージェントスキルなどです。共通しているのは、エージェントが特定の名前で何かを要求し、その名前は呼び出しを待っていた人物のものであったということです。
この技術は正式には エージェント型ボットネットにご注意ください：汎用的で転送可能な敵対的HalluSquattingによる、スケーラブルな非標的型プロンプトウェア攻撃テルアビブ大学、テクニオン工科大学、Intuitの研究者らが2026年7月8日に発表した論文。この論文は、そのメカニズムと同様に、その枠組みも重要である。論文では、標的を絞らない攻撃について述べている。攻撃者は特定の被害者への経路を一切必要としない。メールもメッセージもアクセスも不要だ。攻撃者は名前を登録し、あとはエコシステムに配信を任せる。
幻覚しゃがみ込み、３つの部分に分解 #
正式名称の方が略称よりも仕組みをよく説明しているので、分解してみる価値はある。
- 幻覚。 モデルが未知の要求に遭遇した場合、知らないとは言わず、もっともらしい回答を生成します。例えば、見たことのないツールのリポジトリを尋ねられた場合、通常そのような識別子が取る形式で、信憑性のある所有者名とプロジェクト名を構築します。
- しゃがむ。 タイポスクワッティングやサイバースクワッティングと同じ論理だ。正当な権利者が名前を取得する前に、あるいはそもそもその名前が取得されていなかったことに誰かが気づく前に、その名前を占有する。
- 敵対的。 これが、迷惑行為を攻撃へと変える要因です。単なる偽装登録は機会主義的で、モデルが好む傾向のある名前を登録し、あとは運任せです。一方、敵対的なバージョンは意図的で、普遍的かつ転用可能なトリガーを用いて、モデルを攻撃者が選択した特定の名前へと誘導します。これにより、待ち時間がなくなり、攻撃を再現可能になります。
まとめると、HalluSquattingの意味を一言で表すと、モデルに既に所有している名前を考案させ、エージェントにその名前に基づいて行動させる、ということになります。
幻覚はなぜ予測可能で、農業に利用できるのか？ #
直感的に反論されるのは、幻覚はランダムなものなので、それを基に何かを構築できるはずがないという点だ。しかし、測定結果はそうではないことを示しており、これがHalluSquattingとは何かを理解する上で最も重要な点である。
| シナリオ | その意味 | 幻覚率 |
|---|---|---|
| スキルインストールのプロンプト | エージェントは、要求されるたびに識別子を考案する。 | 最大100% |
| リポジトリのクローン作成プロンプト | エージェントにプロジェクトの複製を依頼するのは、あなたにとって不利な賭けだ。 | 最大85% |
| 2025年に公開されたリポジトリ | 最近のプロジェクトは、回収されるというよりは、ほとんどの場合捏造されている。 | 平均92.4% |
| 2019年以前に公開されたリポジトリ | 確立されたプロジェクトは確実に再現される。最新性が変数となる。 | 平均0.9% |
被害をもたらすパターンは2つあります。まず、最近の情報が捏造を助長します。モデルは、長年確立されているプロジェクトの識別子を確実に再現し、最近のプロジェクトの識別子をほぼ確実に捏造します。トレーニングの締め切り後に現れたものはすべて、モデルが埋める空白です。次に、捏造された名前が伝染します。同じ捏造された名前が異なる基盤モデル間や繰り返し実行間で繰り返されるため、攻撃者はターゲットがどのアシスタントを使用しているかを知る必要がありません。1つの登録名で複数のアシスタントをカバーできます。
その組み合わせこそが、奇抜なアイデアをインフラへと変えるのです。あるモデルが一度考案した名前は、単なる珍品に過ぎません。しかし、トレンドツールについて誰かが尋ねるたびに、複数のモデルが一貫して考案する名前は、流通チャネルとなるのです。
ハルスクワッティング攻撃はどのように行われるのですか？ #
このチェーンは5つのリンクから構成されており、注目すべき点は、攻撃者がセットアップ後に行う作業が非常に少ないことである。
1. 予測する。 攻撃者は、特定の種類の要求（このリポジトリをクローンする、このスキルをインストールする、このパッケージを追加するなど）に対して、識別子モデルがどのようなプロファイルを作成するかを把握します。最新のリソースやトレンドのリソースが最も高い成果をもたらします。
2. 登録します。 彼らは実際のプラットフォーム上でそれらの名前を主張している。リポジトリは存在する。パッケージは解決される。リソースは確かに存在するため、基本的な存在チェックに失敗するものは何もない。
3. 種。 このリソースには、モデルが指示として読み取ることを想定して書かれたコンテンツが含まれています。例えば、README、設定ファイル、ドキュメント、リソースの説明などに含まれる敵対的なプロンプトです。これはプロンプトウェアであり、間接的な 即注射ペイロードは主にコードではなく、次にそれを読み取るものに向けた言語である。
4. 取得。 開発者がエージェントにリポジトリのクローン作成またはスキルのインストールを依頼すると、エージェントは名前を誤認し、攻撃者のリソースにアクセスして、そのコンテンツを自身のコンテキストに取り込み、あたかも取得を依頼されたデータであるかのように見せかける。
5. 実行します。 埋め込まれた命令はエージェントの実行を乗っ取ります。現在のエージェントには統合端末が搭載されているため、実証された結果はリモートツール実行とリモートコード実行であり、最終的にホストにボットがインストールされました。
最後のつながりこそが、この研究のタイトルの由来となっている。侵害されたマシンはそれぞれエージェント型ボットネットに加わる。これは脆弱性や弱い認証情報によってではなく、誰も直接標的にしていないマシン上で、本来従うべきではない指示を読み取るエージェントによって拡散するネットワークである。
ハルスクワッティング vs タイポスクワッティング vs スロップスクワッティング #
これら3つは混同して使われることが多いが、実際には同じものではない。違いは、誰が間違いを犯したのか、そしてその後に何が起こるのかという点にある。
| 技術 | 誰が間違いを犯すのか | 攻撃者が待ち受けているもの |
|---|---|---|
| タイポスコーティング | 人間が、実名をタイプミスしたり、記憶違いしたりした | 実在する名前を指で間違えて入力してしまった |
| スロップスクワット | 開発者がインストールするパッケージ名を考案するモデル | アシスタントの推薦を信頼する開発者 |
| ハルスクワッティング | エージェントがリソースを取得して実行するモデル | 何もない。エージェントが独自にデータを取得し、読み込み、実行する。 |
スロップスクワッティングは、最も近い親戚であり共通の祖先と言えるでしょう。パッケージ名モデルを登録し、誰かがインストールを実行するのを待つというものです。ハルスクワッティングは、これを2つの方向にエスカレートさせます。ターゲットが開発者からエージェントに移ることで、人間のチェックが完全に排除されます。また、名前を単に期待するのではなく、操作できるため、姿勢は日和見主義から敵対的なものへと変化します。
この変化は、すでに実践しているチームにとって最も重要です エージェントコーディング、cision、ルックアップ、および実行は、開発者が要求したプロセス内で 1 つのステップで実行され、開発者はもはや監視していません。
既存の制御がなぜそれを見逃すのか #
従来のサプライチェーンスクリーニングの前提となるあらゆる仮定がここでは逆転する。それが厄介な点だ。
共通しているのは、これらの制御機能はすべて「以前にこの名前を見た人はいますか？」という質問を投げかけている点だ。4時間前に登録された名前に対しては、正直な答えは「いいえ」であり、「いいえ」はブロックにはならない。
エージェントが窓を開ける前に窓を閉じる #
有益な質問は、開発者が架空のパッケージ名に騙されるかどうかではなく、 pipeline 4時間前に作成された、履歴がなく、人間ではなくエージェントによって追加された依存関係に気づくでしょう。
3つの対策でその可能性の大部分が排除され、いずれも攻撃者が登録した名前を推測する必要はありません。
年齢と出所をゲートとして扱います。数時間前に作成されエージェントによって取得されたリソースは、5年の履歴を持つリソースとは全く異なるものであり、パッケージの年齢は、誰も読まないメタデータとしてではなく、ポリシー入力としての方がはるかに効果的です。評判ではなく動作に基づいてスクリーニングします。なぜなら、新しく登録された名前は常に「誰かこれを見たことがあるか」というチェックを通過しますが、「これは実際に何をするのか」というチェックを通過することはないからです。また、インストールが行われる場所を強制します。cision point は開発者のマシンとエージェントのターミナルに移動しており、CI でのみ実行される制御は、ローカルで既に実行されたコードの後に到着します。
ザイゲニ その層で動作します。 マルウェア早期警告 パッケージを評判ではなく動作に基づいてスクリーニングし、署名が存在する前に悪意のあるパッケージにフラグを立てます。これは、今朝登録された名前が今朝検出された唯一の条件です。週ごとの結果は公開されています。 悪意のあるコードの概要. Shield パッケージの最低使用期間要件や悪意のあるインストールのブロックなど、開発者エンドポイント自体にポリシーを適用することで、エージェントが思いついたものをすぐにダウンロードできないようにします。 開発AI 適用 guardrails IDE 内およびコーディング エージェント内で、エージェントが追加するものを確認する commit. そして継続的 AIによる資産発見 この攻撃によって最初に生じる疑問は、ほとんどのチームが答えられない疑問、つまり「何が我々の代わりにデータを取得しているのか、そして誰の権限で行われているのか？」という疑問です。そのため、リポジトリで既に実行されているエージェント、スキル、MCPサーバーをマッピングします。
デモを予約する エージェントたちがどれだけの収入を得ているかを確認するため。
よくある質問：ハルスクワッティングとは何か？（簡潔に回答） #
攻撃者は、AIモデルが作り出す偽名を登録し、エージェントがそれらを検索すると、実際のプロジェクトではなく攻撃者のコンテンツを見つけてしまうように仕向けます。モデルのミスが配信メカニズムとして利用されるのです。
ほとんどの場合そうです。LLM のレッド チーミングは、言語モデルとそれに基づいて構築されたアプリケーションに焦点を当てています。AI のレッド チーミングは、幻覚を単に悪用するのではなく、誘導することです。モデルがたまたま好む名前を登録して待つのではなく、この研究では、エージェントが要求に応じて特定の攻撃者選択の名前を捏造し、異なるモデル間で機能するトリガーが実証されました。
いいえ。タイポスクワッティングは、入力ミスや名前の記憶違いといった人間のミスを利用します。一方、幻覚スクワッティングは、機械による捏造、つまり実在せず、人間が入力したこともない名前を利用します。捏造された名前は既存の名前と類似しているわけではないため、名前の類似性検出はここでは役に立ちません。
両者は重複する部分があり、スロップスクワッティングが先に登場しました。スロップスクワッティングとは、通常、架空のパッケージ名を登録し、アシスタントの推奨に基づいて開発者がインストールするのを待つことを意味します。ハルスクワッティングは、エージェントによる権限昇格です。エージェントが自律的に取得および実行し、架空のパッケージ名は待機するのではなく意図的に生成することができ、実証された最終目標はリモートコード実行とボットネットのインストールです。
エージェントが人間の介入なしに取得およびインストールできるものを特定し、その前に年齢と動作のチェックを組み込む。どちらも設定に関する質問であり、今週中に回答可能。また、攻撃者が既に登録している名前を知る必要もない。
