HalluSquatting, abreviação de "adversarial hallucination squatting" (ocupação alucinatória adversarial), é um ataque no qual alguém registra os nomes de repositórios, pacotes ou habilidades que um modelo de IA provavelmente criará e, em seguida, espera que um agente procure por um deles. O agente acredita estar buscando um projeto real. Em vez disso, ele recebe conteúdo controlado pelo atacante, contendo instruções que o agente executa por meio de seu próprio terminal. Funciona em grande escala porque as alucinações não são aleatórias: os mesmos nomes fabricados se repetem em diferentes modelos e execuções, portanto, podem ser previstos e registrados com antecedência. HalluSquatting é para typosquatting o que um agente é para um desenvolvedor. Um espera que um humano digite errado. O outro espera que uma máquina imagine.
O que é HalluSquatting? Uma definição prática. #
Os ataques à cadeia de suprimentos sempre precisaram de um erro para serem explorados. O typosquatting exige que alguém digite incorretamente o nome de um pacote. A confusão de dependências requer que um resolvedor priorize o registro público em detrimento do privado. Ambos aguardam um erro que eventualmente ocorrerá.
O HalluSquatting não espera por um erro. Ele espera por uma invenção.
Então, a definição prática: HalluSquatting é um ataque à cadeia de suprimentos no qual um adversário pré-registra identificadores de recursos que grandes modelos de linguagem têm grande probabilidade estatística de fabricar, de modo que, quando um agente de IA busca o recurso inventado, ele recupera conteúdo controlado pelo atacante em vez de um projeto legítimo. O recurso pode ser um repositório do GitHub, um pacote em um registro público, um plugin ou uma habilidade de agente. O que eles têm em comum é que o agente solicitou algo por um nome, e o nome pertencia a alguém que estava esperando a solicitação.
A técnica foi descrita formalmente em Cuidado com botnets agentes: ataques de promptware escaláveis e não direcionados por meio de alojamento adversário universal e transferível.Publicado em 8 de julho de 2026 por pesquisadores da Universidade de Tel Aviv, do Technion e da Intuit, o artigo aborda um tema tão importante quanto o mecanismo em si. Ele descreve um ataque não direcionado: o adversário nunca precisa de um canal para atingir uma vítima específica. Sem e-mail, sem mensagem, sem acesso. Basta registrar os nomes e deixar que o ecossistema faça a entrega.
Alucinação de agachamento, dividida em três partes. #
O nome completo explica o mecanismo melhor do que o nome abreviado, por isso vale a pena desmontá-lo.
- Alucinação. Quando um modelo se depara com uma solicitação desconhecida, ele não diz que não sabe. Ele produz algo plausível. Ao ser questionado sobre o repositório de uma ferramenta que nunca viu, ele constrói um proprietário e um nome de projeto verossímeis, no formato que esses identificadores normalmente assumem.
- Agachamento. A mesma lógica do typosquatting e do cybersquatting. Ocupar um nome antes do seu legítimo proprietário, ou antes que alguém perceba que ele nunca foi reivindicado.
- Adversarial. É isso que transforma um incômodo em um ataque. A simples alucinação de nomes é oportunista: registra nomes que um modelo tende a favorecer e, então, espera-se que funcione. A versão adversária é deliberada, usando gatilhos universais e transferíveis que direcionam os modelos para um nome específico escolhido pelo atacante. Isso elimina a espera e torna o ataque repetível.
Resumindo, o significado de HalluSquatting em uma frase é: faça o modelo inventar um nome que você já possui e, em seguida, deixe o agente agir com base nele.
Por que as alucinações são previsíveis o suficiente para serem cultivadas? #
A objeção instintiva é que as alucinações são aleatórias, portanto nada pode ser construído a partir delas. As medições mostram o contrário, e este é o aspecto mais importante a compreender sobre o que é o HalluSquatting.
| Cenário | O que significa | Taxa de alucinações |
|---|---|---|
| Instruções de instalação de habilidades | O agente inventa o identificador sempre que lhe é solicitado. | Até 100% |
| Instruções para clonagem de repositório | Pedir a um agente para clonar um projeto é como jogar uma moeda para o alto, com as chances de você não ter sucesso. | Até 85% |
| Repositórios publicados em 2025 | Os projetos recentes são quase sempre fabricados em vez de recolhidos. | 92.4% média |
| Repositórios publicados em 2019 ou antes | Projetos consolidados são reproduzidos de forma confiável. A variável é a atualidade. | 0.9% média |
Dois padrões causam danos. Primeiro, a recência impulsiona a fabricação. Os modelos reproduzem os identificadores de projetos consolidados de forma confiável e inventam os identificadores de projetos recentes a uma taxa próxima da certeza. Qualquer coisa que tenha surgido após o término do treinamento é uma lacuna que o modelo preenche. Segundo, as alucinações se transferem. Os mesmos nomes fabricados se repetem em diferentes modelos de base e em execuções repetidas, de modo que um atacante não precisa saber qual assistente o alvo utiliza. Um nome registrado abrange vários.
Essa combinação é o que transforma uma peculiaridade em infraestrutura. Um nome inventado uma única vez por um modelo é uma curiosidade. Um nome inventado consistentemente, por vários modelos, sempre que alguém pergunta sobre uma ferramenta em alta, é um canal de distribuição.
Como funciona um ataque de HalluSquatting? #
A corrente possui cinco elos, e o mais notável é o quão pouco o atacante faz após a configuração inicial.
1. Preveja. Os perfis de atacantes que os modelos de identificadores fabricam para uma determinada classe de requisição: clone este repositório, instale esta habilidade, adicione este pacote. Recursos recentes e em alta oferecem o maior retorno.
2. Registre-se. Eles reivindicam esses nomes na plataforma real. O repositório existe. O pacote é resolvido. Nada falha em uma verificação básica de existência, porque o recurso realmente existe.
3. Semente. O recurso é composto por conteúdo escrito para ser lido como instruções por um modelo: um prompt adversário em um arquivo README, um arquivo de configuração, documentação ou a descrição do recurso. Isso é chamado de promptware e está intimamente relacionado ao uso indireto de comandos. injeção imediataA carga útil não é essencialmente código, mas sim uma linguagem direcionada a quem a ler em seguida.
4. Buscar. Um desenvolvedor pede a um agente para clonar o repositório ou instalar a habilidade. O agente alucina o nome, acessa o recurso do atacante e incorpora o conteúdo ao seu próprio contexto, como se fosse o material que lhe foi solicitado.
5. Executar. As instruções embutidas sequestram a execução do agente. Como os agentes atuais são fornecidos com terminais integrados, o resultado demonstrado foi a execução remota de ferramentas e de código, culminando na instalação de um bot no host.
É esse último elo que dá título à pesquisa. Cada máquina comprometida entra em uma botnet agética: uma rede que se espalha não por meio de vulnerabilidades ou credenciais fracas, mas por meio de agentes que leem instruções que nunca deveriam obedecer, em máquinas que ninguém atacou diretamente.
HalluSquatting vs Typosquatting vs Slopsquatting #
Esses três termos são usados como sinônimos, mas não significam a mesma coisa. A diferença está em quem comete o erro e o que acontece em seguida.
| Técnica | Quem comete o erro | O que o atacante espera |
|---|---|---|
| Typosquatting | Um ser humano que digitou errado ou se esqueceu incorretamente de um nome real. | Um deslize de dedo num nome que de fato existe. |
| Agachamento desleixado | Um modelo, que cria um nome de pacote, e então um desenvolvedor o instala. | Um desenvolvedor que confia na recomendação de um assistente. |
| HalluSquatting | Um modelo que cria um recurso que um agente busca e executa. | Nada. O agente busca, lê e executa por conta própria. |
O Slopsquatting é o parente mais próximo e o ancestral comum: registrar nomes de pacotes, modelar alucinações e esperar que alguém execute a instalação. O HalluSquatting intensifica isso em duas direções. O alvo passa do desenvolvedor para o agente, o que elimina completamente a verificação humana. E a postura passa de oportunista para adversária, porque o nome pode ser direcionado em vez de apenas esperado.
Essa mudança é mais relevante para as equipes que já a executam. codificação agêntica, onde o decisNa operação de consulta (ion), a busca e a execução acontecem em uma única etapa, dentro de um processo solicitado pelo desenvolvedor e que ele não está mais monitorando.
Por que os controles existentes não o detectam? #
Todas as premissas por trás da triagem convencional da cadeia de suprimentos são invertidas aqui, e essa é a parte desconfortável.
O ponto em comum é que cada um desses controles pergunta algo como "alguém já viu isso antes?". Para um nome cadastrado há quatro horas, a resposta honesta é não, e não é um bloqueio.
Fechar a janela antes que o agente a abra. #
A questão importante não é se seus desenvolvedores acreditariam em um nome de pacote inventado. É se algo em seu pipeline Perceberia uma dependência que tem quatro horas, não possui histórico e foi adicionada por um agente em vez de uma pessoa.
Três controles fecham a maior parte dessa janela, e nenhum deles exige adivinhar quais nomes um invasor registrou.
Trate a idade e a proveniência como critérios de acesso. Um recurso criado há algumas horas e acessado por um agente é diferente de um com cinco anos de histórico, e a idade do pacote funciona muito melhor como um parâmetro de política do que como metadados que ninguém lê. Filtre com base no comportamento em vez da reputação, porque um nome recém-registrado sempre passa na verificação "alguém já viu isso?" e nunca na verificação "o que isso realmente faz?". E imponha o local onde a instalação ocorre, já que a decisO ponto de integração foi movido para a máquina do desenvolvedor e para o terminal do agente, e um controle que só é executado em CI chega depois que o código já foi executado localmente.
Xygeni Funciona nessa camada. Alerta antecipado de malware O sistema analisa os pacotes com base no comportamento, e não na reputação, sinalizando os maliciosos antes mesmo de existir uma assinatura. Essa é a única condição sob a qual um nome registrado esta manhã é detectado esta manhã. Os resultados semanais são publicados abertamente no [nome da publicação/site]. Resumo de código malicioso. Shield Aplica políticas no próprio endpoint do desenvolvedor, incluindo requisitos de idade mínima para pacotes e bloqueio de instalações maliciosas, de modo que um agente não possa baixar algo no momento em que o imagina. DevAI aplica guardrails Dentro do IDE e dentro do agente de codificação, revisando o que o agente adiciona antes que se torne um commitE contínuo Descoberta de ativos por IA Mapeie os agentes, habilidades e servidores MCP já em execução em seus repositórios, porque a primeira pergunta que esse ataque levanta é aquela que a maioria das equipes não consegue responder: o que está buscando dados em nosso nome e sob a autoridade de quem?
Agenda uma Demonstração Para ver quanto seus agentes estão arrecadando.
FAQ: O que é HalluSquatting, em poucas respostas? #
Um atacante registra os nomes falsos que os modelos de IA tendem a inventar, de modo que, quando um agente procura por um deles, encontra o conteúdo do atacante em vez do projeto real. O erro do modelo se torna o mecanismo de entrega.
Em sua maioria, sim. O Red Teaming da LLM se concentra em modelos de linguagem e nos aplicativos construídos sobre eles. O Red Teaming de IA consiste em direcionar a alucinação em vez de simplesmente explorá-la. Em vez de registrar nomes que os modelos favorecem e esperar, a pesquisa demonstrou gatilhos que fazem com que os agentes fabriquem um nome específico escolhido pelo atacante sob demanda, e que funcionam em diferentes modelos.
Não. O typosquatting explora erros humanos, como um nome digitado incorretamente ou um nome mal lembrado. Já o hallucination squatting explora a fabricação por máquina, um nome que nunca existiu e que nenhum ser humano jamais digitou. A detecção de similaridade de nomes não tem utilidade nesse caso, porque o nome fabricado não se assemelha a nada.
Elas se sobrepõem, e o slopsquatting surgiu primeiro. Slopsquatting geralmente significa registrar nomes de pacotes alucinados e esperar que um desenvolvedor os instale por recomendação de um assistente. HalluSquatting é a escalada agentiva: o agente busca e executa de forma autônoma, a alucinação pode ser induzida em vez de esperada, e o objetivo final demonstrado é a execução remota de código e a instalação de botnets.
Descubra o que seus agentes podem buscar e instalar sem intervenção humana e, em seguida, adicione uma verificação de idade e comportamento antes disso. Ambas são questões de configuração, que podem ser respondidas esta semana, e nenhuma delas exige saber quais nomes um invasor já registrou.
