Gli assistenti di coding basati su intelligenza artificiale stanno diventando sempre più autonomi e per questo anche più appetibili per i cyber criminali. Una nuova tecnica di attacco chiamata HalluSquatting sfrutta un comportamento noto dei modelli linguistici, cioè la tendenza a inventare nomi plausibili di repository, plugin o skill quando non trovano un riferimento certo.
In pratica l’AI allucina un nome e lo propone come se fosse reale. Un attaccante può studiare quali nomi falsi vengono generati più spesso, registrarli prima su piattaforme come GitHub o sugli store di estensioni e trasformarli in una trappola.
Il meccanismo combina due elementi chiave della sicurezza AI:
- Hallucination: la creazione di informazioni inesistenti.
- Prompt injection indiretta: istruzioni malevole nascoste dentro il contenuto recuperato dall’assistente e non nel testo scritto dall’utente.
La catena tipica parte da un progetto di tendenza richiesto da molti sviluppatori. Poiché un progetto appena nato potrebbe non essere presente nei dati di addestramento, l’assistente può iniziare a indovinare il nome. L’attaccante ripete molte richieste, identifica il nome inventato più ricorrente, lo registra e inserisce istruzioni avverse nel repository o nella skill. Quando un utente chiede all’assistente di installare o clonare quella risorsa, l’AI può selezionare proprio il nome falso e scaricare il contenuto controllato dall’attaccante.
Il rischio aumenta quando gli agenti AI hanno la capacità di eseguire comandi in terminale con revisione minima o con modalità di esecuzione automatica. In questo scenario il contenuto malevolo non deve sfruttare una vulnerabilità di rete tradizionale: è l’assistente stesso che diventa il veicolo di consegna e può arrivare a eseguire codice fornito dall’attaccante. Se la risorsa trappola diventa abbastanza popolare, lo stesso nome inventato può raggiungere molte macchine e facilitare la creazione di una botnet multipiattaforma.
Per ridurre l’esposizione è fondamentale evitare che l’assistente esegua comandi non supervisionati su risorse appena recuperate, verificare sempre che nome e origine corrispondano al progetto reale e introdurre controlli che obblighino una ricerca o una validazione prima di installare, clonare o fetchare componenti esterni.