Што е ХалуСквотирање?

HalluSquatting, скратено од adversarial hallucination squatting, е напад во кој некој ги регистрира имињата на складиштето, пакетот или вештините што вештачкиот модел веројатно ќе ги измисли, а потоа чека агентот да почне да ги бара. Агентот верува дека презема вистински проект. Наместо тоа, добива содржина контролирана од напаѓачот, носејќи инструкции што агентот потоа ги извршува преку својот терминал. Работи на големо бидејќи халуцинациите не се случајни: истите измислени имиња се повторуваат низ моделите и низ сите извршувања, така што тие можат да се предвидат и регистрираат однапред. HalluSquatting е за пишување што е агент за развивачот. Едниот чека човек да напише погрешно. Другиот чека машина да замисли.

Што е HalluSquatting? Работна дефиниција #

Нападите во синџирот на снабдување отсекогаш барале грешка за да се снајдат. Нападите со „типоскватинг“ им е потребен некој што ќе го погоди името на пакетот. Конфузијата со зависности им е потребен решавач кој ќе го претпочита јавниот регистар пред приватниот. И двата чекаат грешка што нешто на крајот ќе ја направи.

HalluSquatting не чека грешка. Чека пронајдок.

Значи, работната дефиниција: HalluSquatting е напад во синџирот на снабдување во кој напаѓачот претходно регистрира идентификатори на ресурси што големите јазични модели статистички веројатно ќе ги измислат, така што кога агент на вештачка интелигенција ќе го преземе измислениот ресурс, тој ќе преземе содржина контролирана од напаѓачот наместо легитимен проект. Ресурсот може да биде GitHub репозиториум, пакет во јавен регистар, додаток или вештина на агентот. Она што тие го делат е дека агентот побарал нешто по име, а името му припаѓало на некој што го очекувал повикот.

Техниката беше формално опишана во Пазете се од агенски ботнети: скалабилни нетаргетирани напади со Promptware преку универзален и пренослив Adversarial HalluSquatting, објавено на 8 јули 2026 година од истражувачи од Универзитетот во Тел Авив, Технион и Интуит. Образложението на трудот е важно исто колку и механизмот. Тој опишува нецелен напад: на непријателот никогаш не му е потребен канал до која било специфична жртва. Нема е-пошта, нема порака, нема пристап. Тие регистрираат имиња и му дозволуваат на екосистемот да ја изврши испораката.

Халуцинација во клекнување, поделена на три дела #

Целосното име го објаснува механизмот подобро од краткото, па затоа вреди да се расклопи.

• Халуцинации. Кога моделот ќе се сретне со непознато барање, тој не вели дека не знае. Тој произведува нешто веродостојно. Кога ќе се побара складиште на алатка што не ја видел, тој конструира веродостојно име на сопственик и проект во обликот што вообичаено го добиваат таквите идентификатори.
• Сквотирање. Истата логика како и запишувањето на правописни грешки и сајбер-заземањето. Заземете име пред да го стори тоа неговиот легитимен припадник, или пред некој да забележи дека никогаш не било присвоено.
• Адверсаријален. Ова е она што ја претвора непријатноста во напад. Обичното халуцинантно сквотирање е опортунистичко: регистрирајте имиња што моделот има тенденција да ги фаворизира, а потоа се надевате. Контрадикторната верзија е намерна, користејќи универзални и преносливи тригери што ги насочуваат моделите кон специфично име избрано од напаѓачот. Тоа го отстранува чекањето и го прави нападот повторлив.

Собрано, значењето на HalluSquatting во еден ред: натерајте го моделот да измисли име што веќе го поседува, а потоа дозволете му на агентот да дејствува врз основа на него.

Два шеми ја прават штетата. Прво, неодамнешноста го поттикнува измислувањето. Моделите сигурно ги репродуцираат идентификаторите на долго воспоставените проекти и ги измислуваат идентификаторите на неодамнешните со брзина што се приближува до сигурност. Сè што се појави по граничната вредност на обуката е празно место што моделот го пополнува. Второ, халуцинациите се пренесуваат. Истите измислени имиња се повторуваат низ различни основни модели и низ повторени извршувања, така што напаѓачот не треба да знае кој асистент го користи целта. Едно регистрирано име опфаќа неколку.

Таа комбинација е она што ја претвора необичноста во инфраструктура. Име измислено еднаш од еден модел е куриозитет. Име измислено постојано, од неколку модели, секогаш кога некој ќе праша за алатка во тренд, е дистрибутивен канал.

Како функционира нападот со HalluSquatting? #

Синџирот има пет алки, а значајно е колку малку напаѓачот прави по поставувањето.

1. Предвиди. Напаѓачот ги профилира моделите на идентификатори кои ги изработуваат за дадена класа на барања: клонирање на ова складиште, инсталирање на оваа вештина, додавање на овој пакет. Неодамнешните и трендовските ресурси даваат највисок принос.

2. Регистрирајте се. Тие ги бараат тие имиња на вистинската платформа. Репозиториумот постои. Пакетот го решава проблемот. Ништо не успева да направи основна проверка на постоењето, бидејќи ресурсот навистина постои.

3. Семе. Ресурсот е исполнет со содржина напишана да се чита како инструкции од модел: контрадикторен потсетник во README, конфигурациска датотека, документација или опис на ресурсот. Ова е софтвер за потсетници и е тесно поврзан со индиректен брза инјекцијаОптоварувањето не е првенствено код, туку јазик насочен кон она што ќе го прочита следно.

4. Преземи. Развивачот бара од агент да го клонира складиштето или да ја инсталира вештината. Агентот халуцинира со името, слетува на ресурсот на напаѓачот и ја влече неговата содржина во свој контекст како материјал што бил замолен да го преземе.

5. Изврши. Вградените инструкции го киднапираат извршувањето на агентот. Бидејќи тековните агенти доаѓаат со интегрирани терминали, прикажаниот резултат беше далечинско извршување на алатки и далечинско извршување на код, што заврши со инсталиран бот на домаќинот.

Таа последна врска е она што му го дава на истражувањето нејзиниот наслов. Секоја компромитирана машина се приклучува на агентски ботнет: мрежа што се шири не преку ранливости или слаби акредитиви, туку преку агенти што читаат инструкции што никогаш не требало да ги почитуваат, на машини што никој не ги таргетирал директно.

Slopsquatting е најблискиот роднина и заеднички предок: моделите на регистрирани имиња на пакети халуцинираат, чекаат некој да ја изврши инсталацијата. HalluSquatting го ескалира во два правци. Целта се движи од развивачот кон агентот, што целосно ја отстранува човечката проверка. А ставот се менува од опортунистички кон противнички, бидејќи името може да се управува, а не само да се надева на него.

Промената е најважна за тимовите што веќе го прават тоа агентско кодирање, каде што деcisјон, пребарувањето и извршувањето се случуваат во еден чекор во рамките на процесот што го побарал развивачот и повеќе не го следи.

Зошто постојните контроли го пропуштаат тоа #

Секоја претпоставка зад конвенционалниот скрининг на синџирот на снабдување овде се превртува, што е непријатниот дел.

Суштината е дека секоја од тие контроли прашува некоја верзија на „дали некој го видел ова претходно“. Наспроти име регистрирано пред четири часа, искрениот одговор е не, а не не е блокада.

Затворање на прозорецот пред агентот да го отвори #

Корисното прашање не е дали вашите програмери би се налутиле на измислено име на пакет. Туку дали нешто во вашиот pipeline би забележал зависност која е стара четири часа, нема историја и е додадена од агент, а не од лице.

Три контроли го затвораат поголемиот дел од тој прозорец и ниту една од нив не бара погодување кои имиња ги регистрирал напаѓачот.

Третирајте ја возраста и потеклото како порта. Ресурс креиран пред неколку часа и извлечен од агент е различен предлог од оној со петгодишна историја, а возраста на пакетот функционира многу подобро како влезна политика отколку како метаподатоци што никој не ги чита. Скрининг врз основа на однесувањето наместо на репутацијата, бидејќи новорегистрираното име секогаш поминува проверка „дали некој го видел ова“ и никогаш не поминува проверка „што всушност прави ова“. И спроведете го каде се случува инсталацијата, бидејќи деcisјонската точка се преместила на машината на развивачот и на терминалот на агентот, а контролата што работи само во CI пристигнува откако кодот веќе е извршен локално.

Xygeni работи на тој слој. Рано предупредување за малициозен софтвер ги проверува пакетите врз основа на однесување, а не врз основа на репутација, означувајќи ги злонамерните пред да постои потпис, што е единствениот услов под кој име регистрирано утрово е фатено утрово. Неделните резултати се објавуваат јавно во Малициозен код Диџест. Shield спроведува политика на самата крајна точка на развивачот, вклучувајќи ги и минималните барања за возраст за пакетите и блокирање на злонамерни инсталации, така што агентот не може да извлече нешто во моментот кога ќе го замисли. DevAI важи guardrails внатре во IDE и внатре во агентот за кодирање, прегледувајќи го она што агентот го додава пред да стане commitИ континуирано Откривање на средства со вештачка интелигенција ги мапира агентите, вештините и MCP серверите што веќе работат во вашите складишта, бидејќи првото прашање што го поставува овој напад е она на кое повеќето тимови не можат да одговорат: што презема работи во наше име и под чија надлежност?

Резервирај демо за да видите што внесуваат вашите агенти.

Најчесто поставувани прашања: Што е HalluSquatting, во кратки одговори #