Аналітики з провідних ізраїльських університетів та компанії Intuit представили детальний опис нового класу кіберзагроз, спрямованих на агентні застосунки ШІ. Суть атаки, яка отримала назву Adversarial HalluSquatting, полягає в експлуатації відомої особливості великих мовних моделей — схильності до галюцинацій, тобто генерації неіснуючих ідентифікаторів репозиторіїв, навичок та інших зовнішніх ресурсів.
У своїй роботі дослідники демонструють, як ці, здавалося б, безпечні помилки можуть бути трансформовані в ефективний канал доставки шкідливих інструкцій. Під час контрольованих експериментів така атака призводила до несанкціонованого виклику вбудованих інструментів ШІ-агента і, зрештою, до віддаленого виконання коду на цільовій системі. Йдеться саме про агентні системи, які мають розширені права: вони можуть клонувати репозиторії, встановлювати розширення, запускати команди в терміналі та звертатися до API.
Механіка атаки: від галюцинації до компрометації
Сценарій HalluSquatting ґрунтується на передбачуваній помилці моделі. Коли користувач просить ШІ-агента, наприклад, клонувати популярний репозиторій, модель має самостійно визначити точну адресу ресурсу. Якщо правильний ідентифікатор відсутній у її навчальних даних, вона «вигадує» схожий. Атакуючий, своєю чергою, заздалегідь моніторить популярні ресурси, багаторазово опитує модель і виявляє, які неіснуючі адреси вона генерує найчастіше. Потім він реєструє ці «вільні» імена на GitHub, ClawHub або інших платформах і розміщує там шкідливі інструкції. Коли ШІ-агент «галюцинує» саме цю адресу, він підтягує шкідливий ресурс і починає працювати з ним як із легітимним.
Ключова відмінність цієї схеми від класичних промпт-ін'єкцій — її масштабованість. Зловмиснику не потрібно атакувати конкретну жертву. Достатньо один раз опублікувати шкідливий ресурс у публічному місці й дочекатися, поки агенти самі його запитають. Як зазначають дослідники, один скомпрометований ресурс може призвести до зараження багатьох машин, що робить атаку ідеальною для побудови ботнету.
Результати тестів: вражаюча ефективність
Під час масштабного дослідження, що включало понад 14 000 запусків, було протестовано шість базових моделей через публічні API. Результати виявилися показовими. Для нових репозиторіїв, відсутніх у навчальних даних, середній рівень галюцинацій становив 92,4%. У 53 з 60 комбінацій модель жодного разу не вказала правильного власника проєкту. Для старих проєктів цей показник був лише 0,9%, що підтверджує залежність від навчальної вибірки.
Найзручнішим для атаки виявився тип галюцинації, коли модель ставить назву репозиторію в поле власника, створюючи адресу виду repo/repo. Цей шаблон передбачуваний і часто доступний для реєстрації. З 6000 запитів за новими проєктами моделі видали придатний для реєстрації slug у 27% випадків — 1602 рази.
Перехід до реальних ШІ-застосунків із доступом до терміналу (Cursor, Windsurf, GitHub Copilot, Cline та інші) лише підтвердив серйозність загрози. End-to-end атака спрацьовувала у 20-65% запусків залежно від застосунку. Особливо високі показники були зафіксовані для системи OpenClaw: з моделлю Sonnet 4.6 вона показала 100% успіху як за викликом інструментів, так і за віддаленим виконанням коду.
Skill squatting: атака через навички
Окремий вектор атаки спрямований на маркетплейси навичок. Під час тестів на OpenClaw з Sonnet 4.6 зі 140 запусків 127 (90,7%) призвели до ідентифікатора, який міг бути зареєстрований атакуючим. Експеримент з ексфільтрацією контексту дав 100% успіху, а сценарій, за якого скомпрометований пристрій підключається до сервера атакуючого, спрацював у 88% випадків.
Дослідники запропонували низку захисних заходів: обов'язкова перевірка джерела перед завантаженням будь-якого зовнішнього ресурсу, попереднє резервування часто «галюцинованих» імен платформами, а також обмеження небезпечного повторного використання популярних назв. Однак реакція вендорів виявилася неоднозначною: GitHub, OpenAI та Anthropic не визнали це вразливістю в рамках своїх програм bug bounty, посилаючись на те, що проблема криється в діях агентів і галюцинаціях LLM, а не в їхніх платформах.
Мій експертний коментар: Це відкриття підкреслює фундаментальну проблему безпеки сучасних ШІ-агентів. Поки індустрія зосереджена на захисті від прямих промпт-ін'єкцій, зловмисники знаходять нові, більш витончені шляхи. HalluSquatting — це не просто баг, а архітектурна вразливість, корінь якої лежить у самій природі генеративних моделей. Ігнорування цієї проблеми вендорами — тривожний сигнал. Ми стоїмо на порозі нової ери кіберзагроз, де довіра до «галюцинуючого» ШІ може обернутися компрометацією цілих інфраструктур. Без впровадження обов'язкових протоколів верифікації ресурсів на рівні агента, подібні атаки стануть масовими.