許多開發者與使用者已經習慣將 AI 助手提供的連結視為可靠的資訊來源，但這種信任正被攻擊者利用。Palo Alto Networks 的 Unit 42 研究團隊發現了一種新型態的攻擊手法，稱為 Phantom Squatting（幻影佔位）。簡單來說，這是一種利用大型語言模型（LLM）的幻覺（Hallucination）特性，預先搶註 AI 虛構出的域名，進而實施釣魚或散播惡意軟體的攻擊。
什麼是 AI 幻覺與 Phantom Squatting
在 AI 領域中，幻覺是指模型自信地生成看似合理但實際上錯誤或不存在的資訊。當你詢問 AI 某個品牌的官方服務網址時，AI 可能不會直接回答不知道，而是根據語言機率模式，拼湊出一個看起來很像官方網址但實際上不存在的域名。
Phantom Squatting 的核心邏輯就在於此：攻擊者發現 AI 產生的幻覺具有一致性。也就是說，針對同一個問題，不同的 AI 模型或同一模型在不同時間，經常會「幻覺」出同一個不存在的域名。攻擊者只要預先將這些被 AI 虛構的域名註冊下來，就能在 AI 將使用者導向該網址時，直接接管流量，將使用者引導至偽造的釣魚頁面。
為什麼這種攻擊極具危險性
對於初級工程師或安全維運人員來說，最需要關注的是這種攻擊繞過了傳統的防禦機制。
首先是信任鏈的轉移。傳統釣魚攻擊需要透過電子郵件或惡意廣告來誘騙使用者點擊，但 Phantom Squatting 是讓使用者在信任的 AI 工具介面中直接獲得連結，使用者會傾向於相信 AI 推薦的網址是正確的。
其次是域名信譽的空白期。大多數的安全過濾器或黑名單（Blocklists）是基於域名信譽（Reputation Score）運作的，這意味著一個網站必須先展現出惡意行為，才會被標記。而幻影域名是剛註冊的全新網址，在安全系統眼中它是中立的，沒有不良紀錄，因此能輕易穿透許多企業級的防火牆或過濾機制。
此外，這種問題在架構上幾乎無法修復。研究發現，即使調整模型的溫度參數（Temperature，控制生成隨機性的設定），AI 依然會持續產生虛構域名。這並非訓練數據中的錯誤，而是 LLM 生成語言的結構性特性。
實務案例分析
研究團隊觀察到兩個典型的攻擊路徑。在第一個案例中，AI 虛構了一個國家郵政服務的購物平台域名。攻擊者在 AI 生成該網址後不久便將其註冊，並部署了一套名為 Montana Empire 的釣魚工具包。該工具包能即時複製真實店面，盜取信用卡號與身分證件，甚至利用 Telegram 機器人手動處理雙重驗證碼（OTP）。諷刺的是，證據顯示攻擊者也是利用 AI 程式碼助手來開發這套釣魚工具的。
另一個案例則是用於散播惡意 Android 應用程式。攻擊者將幻影域名包裝成具有高評分的品牌克隆網站，利用 AI 的背書誘導使用者下載惡意軟體。
從域名到套件：Slopsquatting 的延伸
這種攻擊邏輯其實在軟體供應鏈中已經出現，稱為 Slopsquatting。這指的是 AI 程式碼助手在建議開發者安裝套件時，可能會虛構出不存在的套件名稱。攻擊者搶先在 npm 等套件管理庫中上傳同名惡意套件，導致開發者在複製 AI 建議的安裝指令後，直接將惡意程式引入專案。
防禦建議與工程實務
面對這種新型威脅，我們不能依賴 AI 自身的修正，而應從流程上建立防禦：
第一，對 AI 產出的連結採取零信任原則。無論 AI 助手看起來多專業，所有由模型生成的外部連結都應視為未經核實的草稿。在輸入密碼或將其加入程式碼之前，必須透過官方渠道再次確認域名的正確性。
第二，限制 AI Agent 的自動化權限。如果你在開發 AI Agent（自動化代理），絕對禁止其在沒有人工審核的情況下，自動開啟或從 AI 生成的連結下載檔案。Agent 缺乏人類的直覺懷疑，極易成為攻擊鏈的突破口。
第三，主動監控幻覺域名。對於資安團隊而言，可以透過模擬 AI 提問來預測模型可能產生的幻覺域名，並將其納入監控清單。如果在公開註冊紀錄中發現這些預測域名被註冊，即可提前發出預警。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。