Tấn công HalluSquatting lừa trợ lý AI viết mã cài mã độc botnet
"Researchers described HalluSquatting, an attack that exploits AI coding assistants' tendency to hallucinate package, repository, or skill names. By registering the predictable fake names first and hiding prompt-injection payloads in the fetched content, attackers can trick agents with fetch-and-run permissions into executing attacker-supplied code, potentially enabling botnet installation; the researchers reported no single CVE and said vendors were notified before publication."
Tác động đáng kể vì kẻ tấn công có thể biến hallucinated names thành kênh dẫn tới prompt-injection và cuối cùng là thực thi mã thông qua tác nhân có quyền chạy lệnh.
Nguy cơ lan rộng theo quy mô người dùng của các công cụ AI và chuỗi cung ứng phần mềm; tác động vận hành có thể tăng khi tổ chức bật chế độ tự động. Trọng tâm là giảm quyền chạy lệnh tự động và xác thực nguồn trước khi cài.
Các nhà nghiên cứu công bố HalluSquatting, một kỹ thuật lợi dụng xu hướng “hallucination” của AI coding assistants khi đoán sai tên gói, repository hoặc kỹ năng. Theo mô tả, kẻ tấn công xác định trước các tên giả mà mô hình hay tạo ra, đăng ký trước các tên đó trên nền tảng liên quan, sau đó nhúng prompt-injection vào nội dung mà trợ lý sẽ “fetch” để dẫn tác nhân thực thi mã do kẻ tấn công cung cấp.
Điểm rủi ro nằm ở các tác nhân có quyền fetch-and-run (tải tài nguyên từ ngoài và chạy lệnh) với mức kiểm tra của con người thấp. Trong thử nghiệm, chuỗi tấn công khiến trợ lý chạy mã do kẻ tấn công cung cấp trên máy nạn nhân. Các tác giả báo cáo không có CVE đơn lẻ và cho biết đã thông báo cho nhà cung cấp trước khi công bố.
Khuyến nghị: hạn chế chế độ tự động cho phép tác nhân chạy lệnh không giám sát; ưu tiên cơ chế lookup/search trước khi fetch để giảm đoán tên; kiểm tra tên repository/gói thực sự phân giải đúng nguồn dự kiến trước khi cài đặt; và coi mọi tên do AI đề xuất là “giả định” cần xác thực.