AI-asszisztensekkel építhetnek hatalmas botneteket a hackerek — kilenc népszerű eszközt teszteltek
A HalluSquatting nevű új módszerrel a támadók könnyedén hozhatnak létre hatalmas botneteket, végezhetnek nagyszabású DDoS-támadásokat és fertőzhetnek meg eszközöket tömegesen.
A hackerek a legnépszerűbb AI-kódolási asszisztensekkel képesek hatalmas botneteket összeállítani, kihasználva a modellek erőforrás-azonosítókra vonatkozó tévesztéseit. Az új, HalluSquatting nevű támadásmodell a korábbi prompt-injekciós módszerekkel szemben tömeges méretű károkozást tesz lehetővé — írja a kutatást ismertető Ars Technica.
Megcélzott AI-eszközök
A támadás kilenc népszerű AI-eszköz, köztük a Cursor, a Cursor CLI, a Gemini CLI, a Windsurf, a GitHub Copilot, a Cline, az OpenClaw, a ZeroClaw és a NanoClaw ellen működik. Ezek az asszisztensek és ügynökök rutinszerűen húznak le kódot és más erőforrásokat adattárakból és nyilvántartókból a napi feladatok során.Kapcsolódó: AI modellek védelme
Hogyan működik a HalluSquatting?
A HalluSquatting lényege, hogy a támadók előre regisztrálják azokat az erőforrás-azonosítókat, amelyeket az LLM-ek nagy valószínűséggel tévesen azonosítanak be (hallucinálnak), majd ezeket rosszindulatú kóddal töltik fel. Így minimális erőfeszítéssel fertőzhetnek meg nagyszámú eszközt.Kapcsolódó: Magas kockázatú sebezhetőségek
„A támadás skálázhatósága lehetővé teszi a támadó számára, hogy minimális erőfeszítéssel nagyszámú felhasználót kompromittáljon népszerű erőforrásokat célozva, maximalizálva ezzel az esélyt, hogy a lefoglalt erőforrást lekérjék” — írták a kutatók egy szerdán publikált tanulmányukban. Az integrált héjak és terminálok kihasználásával a támadók hatékonyan „fertőzhetnek” meg számos független ügynöki alkalmazást azáltal, hogy fordított héjakat telepítő utasításokat ágyaznak be a támadók által regisztrált erőforrásokba.
Kapcsolódó: Autonóm AI csapdái
A HalluSquatting potenciálisan lehetővé teszi olyan célok elérését, amelyek korábban nem voltak lehetségesek prompt-injekciókkal. Ilyenek például a nagyszabású zsarolóvírus-kampányok és a DDoS-támadásokhoz vagy kriptobányászathoz használt nagy botnetek létrehozása. A támadás a „typosquattingra” — amikor egy domainnév vagy csomagnév hasonlít egy népszerű, létező azonosítóra — emlékeztet.
Kapcsolódó: Nyílt forráskódú fertőzések
A kutatók szerint az LLM-ek képtelenek pontosan azonosítani egy erőforrás helyét, ami a képzési adatokból eredő torzításokból vagy az utasítások félreértelmezéséből fakad. A leggyakrabban előforduló téves azonosítások könnyen megjósolhatók, és a hat nagy LLM-modell, köztük a Gemini-2.5-flash, a Gemini-2.5-pro, a GPT-5.1, a GPT-5.2, a Sonnet-4.5 és az Opus-4.5 is követi ezeket a mintákat. A 2019 előtt közzétett erőforrások esetében az LLM-ek átlagosan csak 0,9 százalékban tévednek, míg a 2025-ben publikáltak esetében ez az arány 92,4 százalékra nő. Miután a támadó azonosította a legvalószínűbb tévesztéseket, megkeresi a regisztrálható neveket, majd feltölt egy erőforrást, amely utánozza a népszerű, trendi erőforrást.
Kapcsolódó: Daybreak biztonsági eszköztár
A kutatók szerint a támadás hatékonyságát még nem tesztelték élesben, és a védekezési mechanizmusok hatékonysága is ismeretlen. A kutatás szerdán jelent meg.