HalluSquatting: Kỹ thuật prompt-injection dạng “pull” có thể dẫn tới botnet quy mô lớn qua trợ lý AI lập trình
"Researchers described HalluSquatting, a pull-based prompt-injection technique that exploits LLM hallucinations in resource resolution to trick AI coding assistants and agents into retrieving attacker-controlled repositories or skills. Affected tools include Cursor, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw, and NanoClaw; the attack can be used to deploy reverse shells, compromise devices at scale, and potentially build botnets for ransomware, DDoS, or cryptocurrency mining. No CVE was cited; the proposed mitigation is to avoid trusting LLM-generated resource locations and to verify repository and package identifiers before use."
Tác động bảo mật cao do pull-based prompt-injection có thể lan rộng qua việc trợ lý AI tự động truy xuất tài nguyên; đặc biệt rủi ro reverse shell và khả năng hình thành botnet cho các mục tiêu như DDoS/mining/ransomware.
Có thể gây gián đoạn vận hành và rủi ro sự cố an ninh trên diện rộng nếu tổ chức dùng trợ lý AI để tải mã/skill; cần tăng chi phí kiểm soát quy trình xác thực nguồn và giảm quyền thực thi của agent.
Các nhà nghiên cứu đã công bố HalluSquatting, một kỹ thuật pull-based prompt-injection khai thác hiện tượng LLM hallucination khi mô hình suy đoán sai định danh tài nguyên (repository/skill) trong quá trình “resolve” để tải mã. Điểm đáng chú ý là thay vì phải nhắm từng nạn nhân như các biến thể push, kẻ tấn công có thể “quy hoạch” các định danh có xác suất bị mô hình nhầm cao, sau đó đăng tải nội dung độc hại để các trợ lý/agent tự động truy xuất.
Tấn công được mô tả là ảnh hưởng đến các công cụ/agent như Cursor, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw và NanoClaw. Khi trợ lý thực thi lệnh trong terminal tích hợp, kẻ tấn công có thể nhúng hướng dẫn để cài reverse shell, từ đó mở rộng khả năng chiếm quyền trên nhiều thiết bị. Nghiên cứu cũng nêu khả năng phục vụ ransomware, DDoS hoặc cryptocurrency mining.
Khuyến nghị: không tin vào đường dẫn/định danh tài nguyên do LLM sinh ra; cần xác thực repository và package/skill identifier trước khi clone/cài đặt, đồng thời kiểm soát quyền truy cập của agent và hạn chế thực thi lệnh từ tài nguyên bên thứ ba.