Investigadores de seguridad han descubierto un nuevo vector de ataque denominado “HalluSquatting”, que explota la tendencia de los asistentes de codificación basados en Inteligencia Artificial (IA) a “alucinar” —es decir, inventar— nombres de herramientas o recursos que no existen. Los atacantes pueden prever estos nombres ficticios, registrarlos en repositorios populares y, posteriormente, engañar a los asistentes de IA para que descarguen e instalen código malicioso, configurando así una botnet en los equipos de los usuarios. Este riesgo afecta a cualquier desarrollador o empresa que utilice asistentes de IA que tengan la capacidad de buscar y ejecutar recursos externos sin una revisión humana explícita.
El ataque combina dos debilidades de la IA: la alucinación y la inyección indirecta de prompts. El atacante identifica un repositorio o plugin popular, pide repetidamente a la IA que lo busque, y registra el nombre falso que el modelo inventa con mayor frecuencia. Una vez registrado, el nombre se utiliza para ocultar instrucciones adversarias. Cuando un usuario real solicita el recurso legítimo, el asistente de IA “alucina” el nombre falso previamente registrado y descarga la versión maliciosa del atacante. Debido a que estos asistentes suelen incluir una terminal incorporada, las instrucciones ocultas pueden ejecutar comandos en la máquina del usuario, como la instalación de un bot. Las pruebas mostraron que la consistencia de estas “alucinaciones” puede alcanzar hasta el 100% en ciertas solicitudes, afectando a herramientas como Cursor, Windsurf, GitHub Copilot, Google Gemini CLI y la familia OpenClaw.
A diferencia de las botnets tradicionales, HalluSquatting no requiere contraseñas débiles, malware que se propague por la red, ni se limita a un tipo de dispositivo o sistema operativo. El código malicioso llega como texto interpretado por la IA, eludiendo la detección de firewalls convencionales. Aunque la combinación es novedosa, los componentes no lo son; ataques previos como el “slopsquatting” (registro de paquetes de software falsos inventados por IA) y el “phantom squatting” (registro de dominios web alucinados por IA) ya habían demostrado la vulnerabilidad de las “hallucinations” de los modelos. La facilidad con la que se pueden colar “habilidades” maliciosas en los mercados de plugins subraya la falta de mecanismos de detección robustos.
La mitigación más efectiva recae en los desarrolladores de herramientas de IA, quienes deben implementar búsquedas de verificación exhaustivas antes de descargar recursos y tratar palabras como “clonar”, “instalar” o “descargar” como señales de alerta. Para los usuarios y equipos de seguridad, es crucial evitar modos de ejecución automática de los asistentes (como “yolo mode” o “skip-permissions flag”) que deshabilitan la confirmación manual. Se debe verificar siempre que el nombre de un repositorio o paquete se resuelva a la fuente original y esperada, y considerar cualquier nombre proporcionado por una IA como una suposición, no un hecho. Las plataformas de registro también pueden pre-registrar los nombres falsos que las IA suelen inventar, redirigiéndolos al proyecto real, una práctica similar a la defensa contra el “typosquatting”.
Qué significa para tu empresa: Este ataque subraya la necesidad crítica de mantener una postura de ciberseguridad proactiva frente a las nuevas amenazas emergentes de la IA. La ejecución de código no autorizado en los equipos de los desarrolladores puede ser un punto de entrada para ataques más amplios. Una estrategia de seguridad robusta debe incluir la protección de endpoints EDR/XDR para detectar y responder a la actividad maliciosa en tiempo real, incluso si el vector inicial es una “alucinación” de IA. Además, un SOC con monitoreo 24/7 es fundamental para identificar patrones de comportamiento anómalos que podrían indicar la instalación de malware o la integración en una botnet, garantizando una respuesta rápida y eficaz ante cualquier incidente de seguridad.
Fuente original: The Hacker News — ver artículo →