Нейросети подрывают безопасность кода: атака HalluSquatting собирает ботнеты через галлюцинации ИИ

Исследователи в области нейросетей и безопасности описали новый тип атаки под названием HalluSquatting, которая превращает галлюцинации (когда нейросеть уверенно выдумывает то, чего не существует) больших языковых моделей в оружие для массового заражения устройств разработчиков.

Что делает эту атаку опасной?

• Не нужно целиться в конкретную жертву. До сих пор промпт-инъекции (когда злоумышленник подсовывает модели вредоносную команду) работали по принципу «push»: атакующий вставлял вредоносную инструкцию в письмо или приглашение в календарь и отправлял конкретному человеку. Масштаб был ограничен.

• HalluSquatting работает по принципу «pull». ИИ-ассистенты для написания кода сами обращаются к внешним хранилищам (реестрам пакетов, репозиториям) и скачивают оттуда библиотеки. Проблема в том, что модель регулярно галлюцинирует названия пакетов, придумывая идентификаторы, которых не существует.

• Атакующий предсказывает эти выдуманные имена. Он регистрирует пакеты с этими именами в реальных реестрах и начиняет их вредоносным кодом: обратными оболочками (reverse shell, программа, которая даёт злоумышленнику удалённый доступ к машине) или другим вредоносным ПО.

• Уязвимы конкретные инструменты. Согласно исследованию, атака работает против Cursor, Cursor CLI, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw и NanoClaw. Все эти ИИ-помощники и ИИ-агенты (программы, которые сами выполняют цепочки действий) имеют доступ к командной строке с высокими привилегиями.

• Результат: массовые ботнеты и DDoS. Исследователи указывают, что HalluSquatting потенциально позволяет собирать масштабные ботнеты (сети заражённых устройств) и проводить DDoS-атаки (когда тысячи машин одновременно перегружают сервер жертвы). Для промпт-инъекций это описано впервые.

Почему привычные защиты не работают?

Большие языковые модели (LLM, нейросети, на которых построены чат-боты и ИИ-помощники) принципиально не умеют отличать легитимные инструкции пользователя от вредоносных, спрятанных в обрабатываемом контенте. Разработчики ИИ-движков вынуждены строить «ограждения» (guardrails), которые смягчают последствия, но не устраняют корневую причину.

HalluSquatting эксплуатирует именно эту слепую зону: модель не проверяет, существует ли пакет, на который она ссылается. А поскольку кодовые ассистенты запускают загруженный код автоматически, заражение происходит без участия человека.

Для контекста: функция подсказки кода есть в большинстве популярных IDE, и миллионы разработчиков используют ИИ-помощники ежедневно. Атака масштабируется не через рассылку, а через саму инфраструктуру разработки.

Как проверить, не затронуты ли вы?

1. Проверьте зависимости проекта. Откройте файл зависимостей (package.json, requirements.txt, go.mod) и сравните каждое имя пакета с реальным реестром (npm, PyPI, Go Modules). Если видите незнакомое название, проверьте дату создания пакета и автора.

2. Ограничьте автоматическую установку. В настройках ИИ-ассистента (Cursor, Copilot и подобных) отключите автоматическое выполнение команд установки. Пусть помощник предлагает команду, а вы запускаете её вручную после проверки.

3. Используйте lockfile и хеши. Фиксируйте точные версии и контрольные суммы пакетов. Любое расхождение при установке станет сигналом подмены.

4. Следите за обновлениями ИИ-ассистентов. После публикации исследования разработчики уязвимых инструментов могут выпустить патчи. Обновляйте ассистенты сразу, как только выходят исправления в области нейросетей и безопасности.

Есть ли аналогичный риск в российских инструментах?

Из доступных в РФ ИИ-помощников для кода наиболее известны GigaCode от Сбера и кодовые возможности YandexGPT. Оба работают с российскими репозиториями и международными реестрами пакетов. Исследование не тестировало эти инструменты напрямую, поэтому нельзя сказать, уязвимы они или нет. Но механизм атаки универсален: если любой ИИ-помощник обращается к публичному реестру и может галлюцинировать имя пакета, он потенциально подвержен HalluSquatting. Российским разработчикам и DevOps-специалистам стоит применять те же меры предосторожности, что и пользователям Copilot или Cursor.

Частые вопросы

Может ли HalluSquatting затронуть обычного пользователя, а не разработчика?

Напрямую нет. Атака нацелена на ИИ-ассистенты для написания кода, которые имеют доступ к командной строке и реестрам пакетов. Если вы используете ChatGPT или YandexGPT для текстов и не устанавливаете код, этот конкретный вектор вас не касается. Но если заражённый код попадёт в приложение, которым вы пользуетесь, последствия могут дойти и до конечного пользователя.

Почему разработчики ИИ-ассистентов не закрыли эту уязвимость?

Потому что проблема лежит в самой природе больших языковых моделей: они не различают реальные и выдуманные идентификаторы. Это не баг конкретного продукта, а свойство технологии. Разработчики могут добавить проверку существования пакета перед установкой, но на момент публикации исследования ни один из перечисленных инструментов этого не делал.

Какие пакетные реестры под угрозой?

Исследование указывает на реестры и репозитории в целом, не выделяя конкретные (npm, PyPI и другие) поимённо. Угроза распространяется на любой публичный реестр, где можно свободно зарегистрировать пакет с произвольным именем.

Атака через выдуманные пакеты звучит почти комично, пока не осознаёшь, что именно так работают миллионы сборок каждый день: ИИ предложил, автоматика установила, разработчик не глядя подтвердил. Проверяйте каждое имя, это занимает секунды и стоит дешевле, чем разбирать последствия.