KI-modeller finner rutinemessig opp nettadresser som ikke finnes. Palo Alto Networks' sikkerhetsteam Unit 42 kaller det angripere gjør med dette for «phantom squatting»: de registrerer de oppdiktede domenene før noen andre, og hoster phishing-sider på dem for å fange trafikken KI-verktøy sender dit. Ingen phishing-e-post og ingen ondsinnet annonse trengs.
For å måle omfanget stilte Unit 42 to KI-modeller 685 339 spørsmål om 913 kjente merkevarer. Modellene produserte 2,1 millioner lenker. 13 229 av dem var allerede flagget som ondsinnede, og rundt 250 000 av de oppdiktede domenene hadde ingen eier, hvert et klart mål for den som registrerer det først.
Mekanismen er at et helt ferskt domene ikke har noe rykte. Blokklister og reputasjonstjenester trenger at et nettsted oppfører seg dårlig en stund før de flagger det. Et nyregistrert phantom-domene har ingen slik historikk, så filtrene har ingenting å reagere på før offeret allerede er sendt dit av et verktøy det stoler på.
«Vektoren utnytter en strukturell egenskap ved LLM-arkitekturer som forblir grunnleggende umulig å patche.» — Unit 42-forskere, Palo Alto Networks
Verre: domenene lå ikke i treningsdataene. Begge modellene ble sluppet før de ekte ondsinnede sidene fantes, så adressene kommer fra modellenes egne språkmønstre, ikke hukommelse. Og mønstrene er konsistente. Ulike modeller finner ofte opp det samme falske domenet for samme spørsmål, noe som gjør angriperens neste mål lett å gjette. I ett dokumentert tilfelle spådde Unit 42 8. mars 2026 et hallucinert domene. 23 dager senere registrerte en angriper nøyaktig det domenet og satte opp et phishing-kit som stjal kortnumre og nasjonale ID-data.
Hva bør du gjøre?
Ikke stol på en lenke bare fordi en KI ga den, men bekreft at domenet er det ekte, offisielle nettstedet før du taster inn passord eller limer det inn i kode. Hindre KI-agenter i å åpne eller laste ned fra modellgenererte lenker automatisk, for en agent har ikke instinktet et menneske har til å nøle. Behandle alt en modell skriver som et ukorrekturlest utkast og ikke en autoritet, og det gjelder pakkenavn like mye som lenker.