Na breve história da segurança da IA, a injeção instantânea rapidamente se tornou a maior ameaça. Modelos de linguagem grande são inerentemente incapazes de distinguir entre instruções legítimas fornecidas pelo usuário e instruções maliciosas incorporadas em e-mails, código-fonte e outros conteúdos de terceiros que o modelo está processando. Isso torna trivial a injeção sub-repticia de ordens maliciosas que o LLM pode seguir facilmente.
Incapazes de impor esta linha crítica entre fontes confiáveis e não confiáveis, os desenvolvedores de mecanismos de IA ficam erguendo barreiras de proteção elaboradas destinadas a mitigar os danos, em vez de abordar as causas profundas.
Até o momento, a maioria das injeções no local de atendimento se enquadra na categoria “push”, onde todas as vítimas em potencial são o alvo. Por exemplo, um invasor injeta instruções maliciosas em um único e-mail ou convite de calendário. Como as injeções devem ser enviadas (ou empurradas) para cada alvo específico, a escala do ataque é limitada, evitando ataques em larga escala na Internet.
Enquanto isso, os ataques pull nos quais os LLMs buscam proativamente pistas adversárias incorporadas em sites permanecem limitados. Esses ataques não podem ser ampliados porque não conseguem atrair um grande número de LL.M.s para o site malicioso.
Entre no agachamento Hallu
Agora, os pesquisadores desenvolveram um ataque baseado em pull que muda tudo isso. Os pesquisadores chamaram o novo ataque de HalluSquatting, que tem potencial para montar uma botnet em grande escala, realizar DDoS em grande escala e infectar dispositivos em grande escala. Este é o primeiro exemplo de ataque de injeção em tempo real. O ataque tem como alvo assistentes e agentes de codificação de IA, incluindo Cursor, Cursor CLI, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw e NanoClaw, todos vulneráveis. No curso normal da execução das atividades diárias, esses assistentes e agentes normalmente extraem código e outros recursos de repositórios e registros.
Modelo de ameaça HalluSquatting.
Fonte da imagem: Spira et al.
Modelo de ameaça HalluSquatting.
Fonte da imagem: Spira et al.
HalluSquatting, abreviação de Adversarial Hallucination Squatting, baseia-se na tendência inerente do LLM de alucinar identificadores de recursos hospedados em repositórios e registros. Ele funciona com agentes e assistentes de codificação, que geralmente acessam linhas de comando de alto privilégio para executar código de recursos de terceiros. Ao prever os identificadores que um LLM tem maior probabilidade de alucinar e, em seguida, registrá-los e implantá-los com instruções para instalar um shell reverso ou outro malware, o ataque pode infectar indiscriminadamente um grande número de dispositivos sem ter que atingir todos os dispositivos.
