Μια νέα μέθοδος κυβερνοεπίθεσης, γνωστή ως «HalluSquatting» (Adversarial Hallucination Squatting), αξιοποιεί την τάση των μεγάλων γλωσσικών μοντέλων (LLMs) να παραληρούν (hallucinate), επιτρέποντας στους χάκερς να σχηματίζουν μαζικά botnets και να εκτελούν επιθέσεις σε πρωτοφανή κλίμακα. Η ανακάλυψη των ερευνητών αφορά τουλάχιστον εννέα δημοφιλή εργαλεία AI, συμπεριλαμβανομένων των Cursor, GitHub Copilot, Gemini CLI, Windsurf και άλλων.
Η επιστροφή του «Typosquatting» στην εποχή του AI
Το HalluSquatting βασίζεται σε μια θεμελιώδη αδυναμία των γλωσσικών μοντέλων: δεν μπορούν να πουν «δεν γνωρίζω». Όταν ένας προγραμματιστής ζητά από έναν AI βοηθό να κάνει clone ενός δημοφιλούς αποθετηρίου κώδικα, το LLM παραληρεί τη σωστή τοποθεσία έως και 85% των φορών. Για νεότερα resources (trending skills), το ποσοστό παραληρήματος φτάνει στο 100%.
Η τεχνική παίρνει το όνομά της από το «typosquatting» — την πρακτική εγγραφής domain names που μοιάζουν με δημοφιλή. Αντί όμως για τυπογραφικά λάθη, οι επιτιθέμενοι εκμεταλλεύονται τα μοτίβα παραληρήματος των LLMs.
Πώς λειτουργεί η επίθεση
Οι ερευνητές —από τα Πανεπιστήμια του Τελ Αβίβ, Technion και Intuit— διαπίστωσαν ότι και τα έξι μεγάλα γλωσσικά μοντέλα (Gemini-2.5-flash, Gemini-2.5-pro, GPT-5.1, GPT-5.2, Sonnet-4.5, Opus-4.5) ακολουθούν κοινά, προβλέψιμα μοτίβα όταν παραληρούν.
Η διαδικασία έχει ως εξής:
- Αναγνώριση: Ο επιτιθέμενος εντοπίζει τα ονόματα αποθετηρίων που τα LLMs είναι πιθανότερο να παραληρήσουν
- Κατοχή (Squatting): Εγγράφει αυτά τα ονόματα σε πλατφόρμες όπως το GitHub ή το NPM
- Έγχυση κακόβουλου κώδικα: Μέσα στο ψεύτικο αποθετήριο κρύβονται εντολές για εγκατάσταση reverse shell
- Εκμετάλλευση: Όταν ένας AI βοηθός προσπαθήσει να κάνει clone το νόμιμο resource, καταλήγει στο ψεύτικο και εκτελεί τον κακόβουλο κώδικα
«Η επεκτάσιμη φύση της επίθεσης επιτρέπει στον εισβολέα να θέσει σε κίνδυνο έναν μεγάλο αριθμό χρηστών με ελάχιστη προσπάθεια», αναφέρουν οι ερευνητές στη δημοσίευσή τους.
Από την παραληρητική απάντηση στο μαζικό botnet
Μόλις ο κακόβουλος κώδικας εκτελεστεί, ο επιτιθέμενος αποκτά απομακρυσμένο έλεγχο της συσκευής. Με αυτόν τον τρόπο, μπορεί να:
- Δημιουργήσει botnets για επιθέσεις DDoS (κατανεμημένης άρνησης υπηρεσίας)
- Εκτελέσει μαζικές επιθέσεις ransomware
- Χρησιμοποιήσει τις μολυσμένες συσκευές για εξόρυξη κρυπτονομισμάτων (cryptomining)
- Κλέψει ευαίσθητα δεδομένα από επιχειρήσεις και οργανισμούς
Σε αντίθεση με προηγούμενες μορφές prompt injection —που απαιτούσαν στόχευση κάθε θύματος ξεχωριστά (push-based attacks)— το HalluSquatting λειτουργεί μαζικά, χωρίς να χρειάζεται ο εισβολέας να στοχεύσει συγκεκριμένα άτομα.
Ποια εργαλεία είναι ευάλωτα
Σύμφωνα με την έρευνα, τα ακόλουθα εννέα εργαλεία AI επηρεάζονται:
- Cursor και Cursor CLI
- Gemini CLI
- Windsurf
- GitHub Copilot
- Cline
- OpenClaw, ZeroClaw και NanoClaw
Όλα αυτά τα εργαλεία έχουν πρόσβαση σε command line υψηλού επιπέδου, γεγονός που τα καθιστά ευάλωτα στην εκτέλεση κακόβουλων εντολών.
Μια διαχρονική αδυναμία
Εντυπωσιακά, τα LLMs αναγνωρίζουν σωστά αποθετήρια που δημοσιεύθηκαν πριν από το 2019 με ποσοστό παραληρήματος μόλις 0,9%. Για αποθετήρια που δημοσιεύθηκαν το 2025, το ποσοστό εκτοξεύεται στο 92,4%.
Αυτό οφείλεται στο γεγονός ότι τα νεότερα resources δεν συμπεριλαμβάνονται στα δεδομένα εκπαίδευσης των μοντέλων — και τα μοντέλα, μη θέλοντας να παραδεχτούν την άγνοιά τους, κατασκευάζουν εσφαλμένες τοποθεσίες.
Αντιδράσεις από την κοινότητα κυβερνοασφάλειας
Ο Michael Bargury, CTO της εταιρείας ασφαλείας Zenity, σχολίασε: «Πρόκειται για εξαιρετική έρευνα και η απειλή είναι πολύ πραγματική. Όπως και με το typosquatting, είναι ένα πρόβλημα που δεν θα εξαφανιστεί. Στο τέλος της ημέρας, το ζήτημα είναι το επίπεδο αυτονομίας που επιτρέπουμε στους πράκτορες AI. Θα εξαπατηθούν με τον έναν ή τον άλλον τρόπο — αυτό πρέπει να είναι η παραδοχή μας.»
Ο ανεξάρτητος ερευνητής Johann Rehberger πρόσθεσε: «Το ενδιαφέρον είναι ότι η έρευνα δείχνει πως η ανάλυση πόρων από τα LLMs μπορεί να γίνει φορέας επίθεσης. Ο εισβολέας μπορεί πρώτα να διερευνήσει τα μοντέλα για να βρει υποψήφια ονόματα με υψηλή πιθανότητα παραληρήματος, να τα καταλάβει και να περιμένει τους πράκτορες να τα χρησιμοποιήσουν.»
Τι σημαίνει αυτό για το μέλλον
Το HalluSquatting αποτελεί μια ισχυρή υπενθύμιση ότι η ευκολία και η αποδοτικότητα που υπόσχονται τα εργαλεία AI συνοδεύονται από θεμελιώδεις αδυναμίες. Οι προγραμματιστές και οι οργανισμοί που βασίζονται σε AI coding assistants πρέπει να είναι ιδιαίτερα προσεκτικοί και να επαληθεύουν χειροκίνητα κάθε resource που ενσωματώνεται σε ένα έργο.
Μέχρι να βρεθεί λύση στο θεμελιώδες πρόβλημα —την αδυναμία των LLMs να διακρίνουν μεταξύ έμπιστων και μη έμπιστων πηγών— επιθέσεις όπως το HalluSquatting θα συνεχίσουν να εξελίσσονται, θέτοντας σε κίνδυνο επιχειρήσεις, οργανισμούς και μεμονωμένους χρήστες σε παγκόσμια κλίμακα.