許多開發者現在習慣使用 AI 程式碼助手（例如 Cursor、GitHub Copilot 或 Gemini CLI）來快速安裝工具或克隆專案。然而，最近的一項研究揭露了一種名為 HalluSquatting 的新型攻擊手法，它利用了 AI 助手最著名的弱點：幻覺（Hallucination），將其轉化為一種大規模植入殭屍網路（Botnet）的攻擊路徑。
什麼是 HalluSquatting？
簡單來說，HalluSquatting 是將 AI 的幻覺現象與搶註域名（Squatting）的概念結合。AI 在面對不熟悉或最新的資源時，經常會「一本正經地胡說八道」，編造出一個看起來非常真實但實際上並不存在的套件名稱或 GitHub 儲存庫名稱。
攻擊者的操作邏輯如下：首先，他們觀察 AI 在被要求獲取某個熱門工具時，最常編造出哪一個錯誤名稱。接著，攻擊者搶先在 GitHub 或插件商店中註冊這個「幻覺名稱」。當真正的使用者要求 AI 安裝該工具，而 AI 再次產生相同的幻覺並導向該錯誤名稱時，使用者就會在不知情的情況下下載並執行攻擊者準備好的惡意內容。
攻擊的技術脈絡與執行路徑
這場攻擊並非單一漏洞，而是將 AI 的兩個特性串聯起來的組合拳。
第一步是利用幻覺。研究發現，AI 編造錯誤名稱的行為具有高度的一致性。在某些測試中，不同模型面對同樣的需求，竟然有高達 85% 甚至 100% 的機率給出同一個錯誤名稱。這意味著攻擊者可以精準地預測 AI 會導向哪個陷阱。
第二步是間接提示注入（Indirect Prompt Injection）。這是一種特殊的指令劫持，攻擊者不需要直接在對話框輸入指令，而是將惡意指令隱藏在 AI 獲取的外部資源（如 README 檔或插件設定）中。當 AI 助手讀取這些內容時，隱藏的指令會接管 AI 的行為，使其不再聽從使用者的命令，而是執行攻擊者的要求。
最後的致命一擊在於 AI 助手的權限。現代的 AI 助手通常內建了終端機（Terminal）操作能力，可以直接執行 shell 指令。一旦 AI 被劫持，它會利用自身的權限在使用者電腦上執行安裝殭屍網路程式的指令。
為什麼這種攻擊比傳統方式更危險？
傳統的殭屍網路建立通常依賴於弱密碼、漏洞利用（Exploit）或在同類設備間蠕蟲式傳播，且容易被防火牆攔截。但 HalluSquatting 完全不同：
首先，它不需要任何系統漏洞或密碼，利用的是 AI 的信任機制。 其次，惡意載荷是以 AI 讀取的文字形式傳遞，而非傳統的網路攻擊封包，因此能輕易繞過大多數防火牆。 最後，由於 AI 助手可以運行在各種作業系統上，這讓攻擊者能一次性地在多元環境中建立跨平台的殭屍網路。
實務上的防禦建議
對於開發者與資安團隊來說，這項研究提醒我們：AI 給出的名稱是猜測，而非事實。
避免使用自動執行模式。許多 AI 工具提供跳過權限確認的模式（例如 YOLO mode 或 skip-permissions 標記），這將安全防線完全移除。請務必保持人工審核，在 AI 執行任何安裝或克隆指令前進行確認。
驗證資源來源。在 AI 執行指令前，請手動確認該儲存庫或套件的名稱是否正確，且對應到官方預期的來源。
對於工具開發者而言，最根本的解決方案是讓 AI 在獲取資源前先進行真實的搜尋（Grounding），將 AI 從猜測模式切換到驗證模式，強制要求 AI 在執行 clone 或 install 等高風險動作前，必須先確認資源確實存在於索引中。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。