Halucynacje asystentów AI mogą zamienić twój komputer w żołnierza botnetu
Gdy asystent AI myli nazwę repozytorium, hakerzy dostają gotowy wektor ataku. Nowo odkryta technika HalluSquatting przeradza przypadkowe pomyłki modeli językowych w masowe infekcje – bez żadnego kliknięcia w podejrzany link.
Kiedy w 2016 roku student wgrał do repozytoriów 214 paczek o nazwach łudząco podobnych do popularnych bibliotek, jego kod wykonał się 45 tysięcy razy, a na ponad połowie zaatakowanych domen zyskał prawa administratora. Dziś ten sam mechanizm – podszywanie się pod znane zasoby – doczekał się groźniejszego, napędzanego sztuczną inteligencją następcy. Nowy atak o nazwie HalluSquatting nie wymaga już podszeptów w e-mailach ani fałszywych linków. Wykorzystuje coś, co modele językowe robią same z siebie: halucynują.
Dlaczego asystent kodowania regularnie się myli
→ Czytaj też: AI rozszyfrowała śpiew ptaków. Co mówią nam od lat?
Duże modele językowe mają kłopot z odróżnieniem zaufanych instrukcji od złośliwych poleceń wstrzykniętych w zewnętrzną treść. To źródło fali ataków prompt injection. Dotychczas jednak większość z nich miała charakter push – atakujący musiał wysłać spreparowaną wiadomość do każdej ofiary z osobna, co ograniczało skalę. Wariant pull, w którym to asystent AI sam ściąga wrogą zawartość, pozostawał rzadki, bo trudno było zwabić wiele modeli w to samo zainfekowane miejsce.
HalluSquatting przełamuje tę barierę. Opiera się na fundamentalnej cesze dużych modeli językowych: nie potrafią poprawnie wskazać adresu zasobu, o który prosi użytkownik. Gdy programista wydaje polecenie w stylu „clone repo XYZ”, asystent – zamiast przyznać, że nie wie – zmyśla lokalizację. Badacze z Uniwersytetu w Tel Awiwie, Technionu i Intuit sprawdzili sześć wiodących modeli, m.in. Gemini-2.5-flash, GPT-5.1 i Sonnet-4.5. Dla repozytoriów opublikowanych po 2025 roku średnia halucynacji sięgała 92,4%, a dla niektórych „umiejętności” (skills) – nawet 100%. Co kluczowe: błędy te są przewidywalne.
Samonaśladujące się pomyłki i masowe infekcje
→ Czytaj też: Pamięci do AI wykańczają rynek aut. Twój następny samochód może być droższy o 8 tys. zł?
Naukowcy zauważyli, że modele niezwykle często generują tzw. samoreferencyjne ścieżki – np. repozytorium trending-tool szukają pod nazwą trending-tool/trending-tool. Atakujący nie musi badać każdego zapytania oddzielnie; wystarczy, że zarejestruje te przewidywalne, a zarazem wolne nazwy na GitHubie czy w rejestrach paczek. W przesyłanym tam kodzie umieszcza instrukcje do pobrania i uruchomienia powłoki zwrotnej (reverse shell) na komputerze ofiary.
W ten sposób z jednego fałszywego repozytorium może skorzystać wielu użytkowników – zupełnie nieświadomie. „Skalowalność ataku umożliwia przejęcie kontroli nad rozproszonymi urządzeniami przy minimalnym wysiłku, poprzez celowanie w popularne zasoby, co maksymalizuje prawdopodobieństwo, że zasymilowane repozytorium zostanie pobrane” – piszą autorzy w opublikowanej w środę pracy.
„Wykorzystując zintegrowane powłoki i terminale agentowych aplikacji, atakujący mogą w praktyce »zainfekować« wiele niezależnych agentów” – czytamy w badaniu.
Dziewięć narzędzi, jeden mechanizm
Lista podatnych asystentów jest długa i obejmuje popularne na co dzień środowiska: Cursor, Cursor CLI, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw oraz NanoClaw. Wszystkie rutynowo sięgają do zewnętrznych repozytoriów i wykonują kod na maszynie użytkownika. W normalnych warunkach przyspiesza to pracę; w wariancie HalluSquatting czyni z asystenta nieświadomego konia trojańskiego.
Dotychczas iniekcje zniechęcały do ataków na wielką skalę. Teraz, gdy wystarczy „wstrzyknąć” instrukcję do jednego zasobu, który AI aktywnie wyszuka, można budować olbrzymie botnety, prowadzić ataki DDoS, kopać kryptowaluty czy rozsyłać ransomware – bez wysyłania ani jednego e-maila. Z danych badaczy wynika, że dla repozytoriów sprzed 2019 roku odsetek halucynacji to tylko 0,9%, co pokazuje, jak bardzo problem wiąże się z danymi spoza treningu modeli.
Czy obrona w ogóle jest możliwa?
Kłopot leży w konstrukcji samych LLM-ów. Nie istnieje metoda, która stuprocentowo oddzieliłaby zaufane instrukcje od wrogich – twórcy stawiają jedynie bariery ochronne, które atakujący zawsze może spróbować ominąć. HalluSquatting nie wymaga żadnego wyrafinowanego obejścia; opiera się na cesze, którą trudno wyeliminować bez fundamentalnych zmian w architekturze modeli.
Odkrycie to przypomina, że rosnąca autonomia agentów AI bez zmiany podejścia do bezpieczeństwa to prosta droga do masowych incydentów. Każdy prompt do asystenta kodowania jest dziś potencjalną furtką – pytanie brzmi, jak szybko twórcy narzędzi zaczną traktować halucynacje nie jak ciekawostkę, lecz jak wektor ataku o sieciowej skali.
