Hva er HalluSquatting?

HalluSquatting, en forkortelse for adversarial hallucination squatting, er et angrep der noen registrerer navnene på depotet, pakken eller ferdighetene en AI-modell sannsynligvis vil oppfinne, og deretter venter på at en agent skal lete etter et. Agenten tror den henter et ekte prosjekt. I stedet får den angriperkontrollert innhold, og bærer instruksjoner som agenten deretter utfører gjennom sin egen terminal. Det fungerer i stor skala fordi hallusinasjoner ikke er tilfeldige: de samme oppdiktede navnene går tilbake på tvers av modeller og på tvers av kjøringer, slik at de kan forutsies og registreres på forhånd. HalluSquatting er å skrive inn tekst og skrive feil, akkurat som en agent er for en utvikler. Den ene venter på at et menneske skal skrive feil. Den andre venter på at en maskin skal forestille seg det.

Hva er HalluSquatting? En fungerende definisjon #

Angrep i forsyningskjeden har alltid krevd en feil å lande på. Typosquatting trenger noen som kan gi et pakkenavn et fet finger. Avhengighetsforvirring trenger en løsning for å foretrekke det offentlige registeret fremfor det private. Begge venter på en feil som noe til slutt lager.

HalluSquatting venter ikke på en feil. Den venter på en oppfinnelse.

Så arbeidsdefinisjonen: HalluSquatting er et forsyningskjedeangrep der en motstander forhåndsregistrerer ressursidentifikatorer som store språkmodeller statistisk sett sannsynligvis vil lage, slik at når en AI-agent henter den oppfunnede ressursen, henter den angriperkontrollert innhold i stedet for et legitimt prosjekt. Ressursen kan være et GitHub-arkiv, en pakke i et offentlig register, en plugin eller en agentferdighet. Det de har til felles er at agenten ba om noe ved navn, og navnet tilhørte noen som forventet kallet.

Teknikken ble formelt beskrevet i Vær obs på agentiske botnett: Skalerbare, umålrettede promptware-angrep via universell og overførbar adversarial hallu-squatting, publisert 8. juli 2026 av forskere fra Tel Aviv Universitet, Technion og Intuit. Artikkelens innramming er like viktig som mekanismen. Den beskriver et umålrettet angrep: motstanderen trenger aldri en kanal til et spesifikt offer. Ingen e-post, ingen melding, ingen tilgang. De registrerer navn og lar økosystemet gjøre leveransen.

Hallusinasjon på huk, delt inn i tre deler #

Det fulle navnet forklarer mekanismen bedre enn det korte, så det er verdt å ta det fra hverandre.

• Hallusinasjon. Når en modell møter en ukjent forespørsel, sier den ikke at den ikke vet. Den produserer noe plausibelt. Når den blir bedt om arkivet til et verktøy den ikke har sett, konstruerer den en troverdig eier og et prosjektnavn i den formen slike identifikatorer vanligvis har.
• Huk. Samme logikk som typosquatting og cybersquatting. Okkuper et navn før den legitime kravshaveren gjør det, eller før noen legger merke til at det aldri ble gjort krav på i det hele tatt.
• Motstandersk. Det er dette som gjør en plage til et angrep. Ren hallusinasjons-squatting er opportunistisk: registrer navn en modell har en tendens til å favorisere, og håp deretter. Den fiendtlige versjonen er bevisst, og bruker universelle og overførbare triggere som styrer modeller mot et spesifikt angripervalgt navn. Det fjerner ventingen og gjør angrepet repeterbart.

Satt sammen, HalluSquatting-betydningen i én linje: få modellen til å finne opp et navn du allerede eier, og la deretter agenten handle ut fra det.

To mønstre gjør skaden. For det første driver nyhetens utvikling fabrikasjon. Modeller reproduserer identifikatorene til veletablerte prosjekter pålitelig og oppfinner identifikatorene til nyere prosjekter med en hastighet som nærmer seg sikkerhet. Alt som dukker opp etter treningsfristen er et tomrom som modellen fyller ut. For det andre overføres hallusinasjoner. De samme fabrikkerte navnene gjentas på tvers av forskjellige grunnleggende modeller og på tvers av gjentatte kjøringer, slik at en angriper ikke trenger å vite hvilken assistent et mål bruker. Ett registrert navn dekker flere.

Det er denne kombinasjonen som gjør en særegenhet til infrastruktur. Et navn som er oppfunnet én gang av én modell er en kuriositet. Et navn som er oppfunnet konsekvent, av flere modeller, når noen spør om et trendverktøy, er en distribusjonskanal.

Hvordan fungerer et hallu-knebøyangrep? #

Kjeden har fem lenker, og det bemerkelsesverdige er hvor lite angriperen gjør etter oppsettet.

1. Forutsi. Angriperen profilerer hvilke identifikatormodeller fabrikkerer for en gitt forespørselsklasse: kloner dette depotet, installerer denne ferdigheten, legger til denne pakken. Nylige og trendende ressurser gir høyest utbytte.

2. Registrer deg. De gjør krav på disse navnene på den virkelige plattformen. Repositoriet eksisterer. Pakken løses. Ingenting feiler i en grunnleggende eksistenssjekk, fordi ressursen faktisk eksisterer.

3. Frø. Ressursen er fylt med innhold som er skrevet for å leses som instruksjoner av en modell: en adversarial ledetekst i en README-fil, en konfigurasjonsfil, dokumentasjon eller ressursbeskrivelsen. Dette er promptware, og det er nært knyttet til indirekte rask injeksjonNyttelasten er ikke primært kode, det er språk rettet mot det som leser den neste gang.

4. Hent. En utvikler ber en agent om å klone depotet eller installere ferdigheten. Agenten hallusinerer navnet, lander på angriperens ressurs og trekker innholdet inn i sin egen kontekst som materiale den ble bedt om å hente.

5. Utfør. De innebygde instruksjonene kaprer agentens utførelse. Fordi nåværende agenter leveres med integrerte terminaler, var det demonstrerte resultatet ekstern verktøyutførelse og ekstern kodeutførelse, som endte med en bot installert på verten.

Det er den siste lenken som gir forskningen tittelen. Hver kompromitterte maskin blir med i et agentisk botnett: et nettverk som sprer seg ikke gjennom sårbarheter eller svake legitimasjonsdetaljer, men gjennom agenter som leser instruksjoner de aldri var ment å følge, på maskiner ingen angrep direkte.

Slopsquatting er den nærmeste slektningen og den felles stamfaren: registrer pakkenavn modeller hallusinerer, venter på at noen skal kjøre installasjonen. HalluSquatting eskalerer det i to retninger. Målet beveger seg fra utvikleren til agenten, som fjerner den menneskelige kontrollen fullstendig. Og holdningen går fra opportunistisk til fiendtlig, fordi navnet kan styres i stedet for bare håpes på.

Endringen er viktigst for team som allerede gjør det agentkoding, hvor decision, oppslaget og utførelsen skjer i ett trinn i en prosess utvikleren ba om og ikke lenger overvåker.

Hvorfor eksisterende kontroller ikke fungerer #

Alle antagelser bak konvensjonell screening av forsyningskjeden snus på hodet her, noe som er den ubehagelige delen.

Gjennomgående er at hver av disse kontrollene spør en eller annen versjon av «har noen sett dette før». Mot et navn registrert for fire timer siden, er det ærlige svaret nei, og nei er ikke en blokk.

Lukker vinduet før agenten åpner det #

Det nyttige spørsmålet er ikke om utviklerne dine ville falle for et oppfunnet pakkenavn. Det er om det er noe i ditt pipeline ville legge merke til en avhengighet som er fire timer gammel, ikke har noen historikk og ble lagt til av en agent i stedet for en person.

Tre kontroller lukker mesteparten av det vinduet, og ingen av dem krever at man gjetter hvilke navn en angriper har registrert.

Behandle alder og opprinnelse som en port. En ressurs opprettet for timer siden og hentet av en agent er et annet forslag enn en med fem års historie, og pakkealder fungerer mye bedre som policyinndata enn som metadata ingen leser. Skjerm på atferd i stedet for omdømme, fordi et nylig registrert navn alltid består en «har noen sett dette»-sjekk og aldri består en «hva gjør dette egentlig»-sjekk. Og håndhev der installasjonen skjer, siden decisIon-punktet har flyttet seg til utviklerens maskin og agentens terminal, og en kontroll som bare kjører i CI ankommer etter at koden allerede er utført lokalt.

Xygeni fungerer på det laget. Tidlig advarsel om skadelig programvare screener pakker på oppførsel i stedet for omdømme, og flagger ondsinnede pakker før en signatur finnes, som er den eneste betingelsen for at et navn registrert i morges blir oppdaget i morges. De ukentlige resultatene publiseres åpent i Sammendrag av skadelig kode. Shield håndhever policyen på selve utviklerens endepunkt, inkludert minimumsalderkrav for pakker og blokkering av ondsinnede installasjoner, slik at en agent ikke kan hente noe i det øyeblikket den forestiller seg det. DevAI gjelder guardrails inne i IDE-en og inne i kodeagenten, og gjennomgå hva agenten legger til før den blir en commitOg kontinuerlig Oppdagelse av AI-ressurser kartlegger agentene, ferdighetene og MCP-serverne som allerede kjører i databasene dine, fordi det første spørsmålet dette angrepet reiser er det de fleste team ikke kan svare på: hva henter ting på våre vegne, og under hvis autoritet?

Kontakt for å se hva agentene dine får inn.

Vanlige spørsmål: Hva er HalluSquatting, i korte svar #