Дослідницька група з Тель-Авівського університету, Техніону та компанії Intuit представила детальний аналіз нового класу кібератак, спрямованих на агентні застосунки штучного інтелекту. Ця техніка, названа Adversarial HalluSquatting, експлуатує фундаментальну особливість великих мовних моделей (LLM) — їхню схильність до «галюцинацій», тобто генерації неіснуючих, але правдоподібних ідентифікаторів.
Суть атаки полягає в тому, що зловмисники заздалегідь виявляють, які саме неіснуючі адреси репозиторіїв, навичок або інших зовнішніх ресурсів модель найчастіше вигадує у відповідь на запити користувача. Потім вони реєструють ці «примарні» імена на платформах на кшталт GitHub або ClawHub, розміщуючи там шкідливий код. Коли ІІ-агент, виконуючи завдання користувача, «галюцинує» цю конкретну адресу, він автоматично завантажує та виконує шкідливі інструкції, сприймаючи їх за легітимні.
Ключова відмінність HalluSquatting від традиційних ін'єкцій промптів — у масштабованості. Атакуючому не потрібно взаємодіяти з конкретною жертвою; достатньо один раз опублікувати шкідливий ресурс у публічному місці та чекати, поки довірливий агент сам до нього звернеться. Як зазначають автори, «один скомпрометований ресурс може призвести до компрометації багатьох машин», що робить цю схему ідеальною для побудови ботнетів.
Експериментальні дані: масштаб загрози
У рамках дослідження було проведено понад 14 000 тестових запусків. На першому етапі вивчалися шість базових моделей, включаючи Gemini 2.5 Flash, GPT-5.1 та Sonnet 4.5. Результати виявилися вражаючими: для нових, нещодавно створених репозиторіїв середній рівень галюцинацій склав 92,4%. У 53 з 60 комбінацій «репозиторій-модель» система жодного разу не вказала правильного власника проекту. Для старих проектів, присутніх у навчальних даних, цей показник впав до 0,9%.
На другому етапі дослідники протестували реальні застосунки з доступом до терміналу: Cursor, Windsurf, GitHub Copilot та інші. У сценаріях клонування репозиторіїв наскрізна атака (end-to-end) спрацьовувала у 20-65% випадків залежно від застосунку. Особливо вразливою виявилася платформа OpenClaw: з моделлю Sonnet 4.6 атака досягала 100% успіху як за викликом вбудованих інструментів, так і за віддаленим виконанням коду (RCE).
Skill Squatting та захисні заходи
Окремий блок дослідження був присвячений атакам через маркетплейси навичок (skill squatting). У тестах на OpenClaw 90,7% запитів призводили до ідентифікатора, який міг бути зареєстрований зловмисником. Сценарій ексфільтрації контексту дав 100% успіху, а отримання віддаленого доступу до командного рядка спрацювало у 88% випадків.
Дослідники підкреслюють, що ключовим захисним фактором є обов'язковий веб-пошук перед завантаженням будь-якого зовнішнього ресурсу. Коли Cursor CLI виконував пошук перед клонуванням, 93,4% результатів були коректними, тоді як без пошуку 99,1% адрес виявилися галюцинованими. Однак формулювання запиту також сильно впливає на результат, і жоден тип промпту не показав універсальної безпеки.
Думка експерта: HalluSquatting — це не просто теоретична вразливість, а практичний вектор атаки, який ставить під сумнів саму архітектуру довіри в агентних ІІ-системах. Поки розробники покладаються на «інтелект» моделі для вибору зовнішніх ресурсів без обов'язкової верифікації, ми спостерігатимемо зростання кількості інцидентів, пов'язаних з автоматичним виконанням шкідливого коду. Індустрії терміново необхідно впроваджувати принцип «нульової довіри» (Zero Trust) для всіх дій ІІ-агентів, особливо тих, що пов'язані із завантаженням та виконанням коду із зовнішніх джерел.