AI kodēšanas asistenti 85 % gadījumu izdomā repozitorija nosaukumu, ko uzbrucējs jau reģistrējis

Tel Avivas Universitātes, Tehnionas un Intuit pētnieku grupa aprakstījusi uzbrukumu, kurā ļaunprātīgu kodu upura datorā ievelk pats AI kodēšanas asistents. Paņēmiens nosaukts par HalluSquatting. Uzbrucējs vispirms noskaidro, kādus neesošus repozitoriju un prasmju nosaukumus valodas modelis mēdz izdomāt. Tad viņš šos nosaukumus reģistrē GitHub vai spraudņu veikalā un ieliek tajos slēptas instrukcijas. Kad izstrādātājs lūdz asistentam paņemt īsto rīku, asistents atnes uzbrucēja versiju.

Repozitoriju klonēšanas scenārijos modeļi trāpīja uz iepriekš reģistrētu izdomātu nosaukumu līdz 85 % gadījumu. Prasmju instalēšanā rādītājs sasniedza 100 %. Pārbaudītas deviņas lietotnes: Cursor, Cursor CLI, Windsurf, GitHub Copilot, Cline, Gemini CLI, OpenClaw, ZeroClaw un NanoClaw. Darbu parakstījuši Aja Spira, Stavs Koens, Elads Feldmans, Rons Bitons, Avišajs Vūls un Bens Nasi; pilns nosaukums ir Beware of Agentic Botnets.

Kā ķēde salikta kopā

Sākums ir izpēte. Uzbrucējs izvēlas populāru vai nesen publicētu rīku un vairākas reizes prasa modelim to noklonēt. Modelis, kas šo rīku nav redzējis apmācības datos, nosaukumu izdomā. Būtiskākais atradums ir tas, ka izdomātie nosaukumi atkārtojas. Viens un tas pats modelis vairumā mēģinājumu piedāvā to pašu neesošo īpašnieka vārdu vai repozitorija nosaukumu. Dažādi modeļi bieži nonāk pie tā paša varianta.

Otrais solis ir reģistrācija. GitHub ļauj paņemt brīvu lietotājvārdu un repozitorija nosaukumu bez papildu pārbaudēm. Repozitorijā uzbrucējs ieliek README vai konfigurācijas failu ar tekstu, kas rakstīts asistentam. Cilvēkam tas izskatās pēc dokumentācijas. Asistentam, kas failu izlasa un uztver kā kontekstu, tā ir instrukcija.

Pēdējais posms izmanto tiesības, kas asistentiem jau ir. Cursor, Copilot un Gemini CLI drīkst palaist komandas terminālī. Ievietotā instrukcija pasaka, kuru komandu palaist. Pētnieki tā ieguva attālu koda izpildi un uzstādīja botu, kas pieslēdzas vadības serverim. Neviens ievainojamības numurs uzbrukumam nav piešķirts, jo runa ir par to, kā aģenti uzticas nosaukumiem, ne par kļūdu vienā produktā.

Kāpēc paņēmiens mērogojas

Klasiskajā typosquatting uzbrucējs gaida, kad kāds pārrakstīsies. Šeit gaidīt nevajag. Nepareizo nosaukumu saģenerē pats modelis. Tas notiek stabili un uz vienu un to pašu vārdu, tāpēc uzbrucējam pietiek reģistrēt dažus desmitus variantu.

Otrs iemesls ir pārnesamība. Ja izdomātais nosaukums nostrādā pret Copilot, tas bieži nostrādā arī pret Cursor un Cline, jo aiz tiem darbojas līdzīgi pamatmodeļi. Uzbrucējam nav jāzina, kuru rīku upuris lieto. Mērķa nav vispār. Nosaukums tiek reģistrēts un pēc tam gaida, kurš asistents to atnesīs.

Vislabāk der jauni rīki. Nesen publicēts repozitorijs modeļa apmācības datos vēl nav iekļuvis, tāpēc izdomāšanas biežums tam ir augstāks. Tieši par jaunajiem rīkiem izstrādātāji asistentam prasa visbiežāk. Prasmju veikali situāciju pasliktina vēl vairāk. Prasme parasti ir tikai mape ar teksta failu, tāpēc uzbrucējam nav jāraksta neviena koda rinda. Pietiek ar aprakstu, kuru asistents izpildīs kā pavēli.

Mūsu rezultāti ir tikai apakšējā robeža tam, ko uzbrucēji spēj izdarīt. Uzbrukumi vienmēr kļūst labāki; sliktāki tie nekļūst nekad.

Aģentu botneti uzvedas citādi

SecurityWeek apraksta atšķirību no parasta botneta. Parastais izplatās caur ievainojamībām konkrētā programmatūrā, tāpēc inficēto mašīnu kopums ir samērā viendabīgs. Aģentu botnets izplatās caur tekstu, ko asistents izlasa. Ugunsmūris redz parastu HTTPS pieprasījumu uz GitHub. Inficētais dators var būt izstrādātāja klēpjdators, CI izpildītājs vai serveris, uz kura kāds palaidis aģentu. Uzņēmuma tīklā šie datori parasti stāv aiz ugunsmūra un tiem ir piekļuve iekšējiem repozitorijiem.

Šis nav pirmais gadījums, kad izdomāti nosaukumi kļūst par uzbrukuma virsmu. Aikido pētnieks Čārlijs Ēriksens šā gada janvārī atrada pakotni react-codeshift, kas bija ietekmējusi 237 projektus. Atsevišķa uzskaite saskaitīja aptuveni 250 000 modeļu izdomātu domēna vārdu, kas nevienam nepieder. Jūnijā Trail of Bits mazāk nekā stundā apgāja prasmju veikala pārbaudes.

Ko iesaka mainīt

Lietotņu pusē pētnieki iesaka piespiest asistentu vispirms izmantot meklēšanas rīku un tikai pēc tam ko lejupielādēt. Palīdz arī plānošanas piemēri sistēmas uzvednē, atslēgvārdu atpazīšana pieprasījumos par resursu lejupielādi un stingrāks izpildes plāna regulējums. Praktiskākais solis šodien ir cilvēka apstiprinājums pirms tam, kad aģents palaiž svešu kodu.

Platformu pusē saraksts ir īsāks: globāli unikāli nosaukumi, aizliegums atkārtoti izmantot atbrīvoto repozitorija nosaukumu ar citu īpašnieku un iespējamo izdomāto nosaukumu preventīva reģistrēšana pašiem. Klāt nāk ļaunprātīgu uzvedņu meklēšana repozitoriju un pakotņu tekstos. The Hacker News norāda, ka pētnieki par atradumu informēja gan rīku ražotājus, gan pamatmodeļu piegādātājus un platformu uzturētājus pirms publikācijas. Detaļas par konkrētajiem reģistrētajiem nosaukumiem publiskotas netika.

Avoti

• Beware of Agentic Botnets: Scalable Untargeted Promptware Attacks via Universal and Transferable Adversarial HalluSquatting
• The Hacker News: New HalluSquatting Attack Could Trick AI Coding Assistants Into Installing Botnet Malware
• SecurityWeek: HalluSquatting Turns AI Hallucinations Into Botnet Delivery Mechanism
• DevOps.com: HalluSquatting Compromises AI Coding Agents to Install Malware, Create Botnets
• Cybersecurity News: New HalluSquatting Attack Allows Hackers to Poison AI Coding Assistants