85 prosent. Så ofte fant KI-verktøyene i studien opp et falskt repo-navn når de ble bedt om å hente et populært prosjekt, og for installasjon av «skills» var treffet 100 prosent. Verre: de samme oppdiktede navnene går igjen på tvers av ulike grunnmodeller, så et angrep tuftet på ett navn treffer bredt.
Tidligere prompt-injection-angrep har krevd en direkte kanal til offeret, som en e-post, en logg eller en kommentar modellen leser. HalluSquatting trenger ingen slik kanal. Forskerne beskriver det som «utargetert» promptware: angriperen sår navnene og venter på at hvem som helst spør KI-en om noe som utløser hallusinasjonen.
Teknikken kalles adversarial hallucination squatting. Angriperen registrerer navnene modellene ofte finner opp, og legger skadelige instruksjoner inni dem. Når du så ber et verktøy som Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI eller OpenClaw om å klone et repo eller installere en skill, kan assistenten hallusinere det kaprede navnet, hente det ned og kjøre angriperens kommandoer via sin egen terminal.
Til forskjell fra tradisjonelle botnett, som Mirai, spres dette via prompt-injection som glir forbi brannmurer og kan slå rot på nær sagt hvilken som helst enhet. Forskerne holdt tilbake deler av exploit-detaljene de mener kan gjenbrukes direkte av angripere, og varslet berørte leverandører før publisering.
For deg som lar en KI-agent installere avhengigheter er poenget ubehagelig konkret: agenten kan finne på et navn som ikke fantes i går, men gjør det i dag fordi noen registrerte det i mellomtiden.
Hva bør du gjøre?
- Ikke la agenten installere pakker eller klone repoer fritt. Krev at den viser deg navn og kilde før nedlasting.
- Lås avhengigheter til kjente, verifiserte navn og versjoner i stedet for å be om «det mest populære» biblioteket.
- Kjør agentens terminal i et isolert miljø, slik at en feilaktig nedlasting ikke treffer resten av maskinen.