九款AI编程工具易受HalluSquatting僵尸网络攻击

研究人员发现了一种名为 HalluSquatting 的新型提示注入攻击，该攻击影响了九款流行的 AI 编码工具，包括 Cursor、GitHub Copilot 和 Gemini CLI。该攻击利用了大型语言模型无法区分合法指令和恶意指令的缺陷，加上它们倾向于从代码仓库中幻觉出资源标识符。该漏洞使攻击者能够通过注册预测到的幻觉标识符并植入恶意指令，从而组建大规模僵尸网络并发起大规模 DDoS 攻击。提示注入已成为 AI 安全领域的头号威胁，因为 LLM 本质上无法在可信用户指令和不可信第三方内容之间强制执行边界。

HalluSquatting 利用 LLM 对资源标识符的幻觉

HalluSquatting 是"对抗性幻觉域名抢注"的简称，它针对能访问高权限命令行以从第三方资源运行代码的编码智能体和助手。该攻击方法预测 LLM 最可能幻觉的标识符，然后注册这些标识符并植入安装反向 shell 或其他恶意软件的指令。AI 编码助手和智能体在日常活动中会从仓库和注册表中拉取代码和其他资源。由于无法强制划分可信与不可信来源之间的边界，AI 引擎开发者只能构建复杂的护栏，旨在减轻损害而非解决根本原因。

九款 AI 编码工具确认易受攻击

该攻击针对 AI 编码助手和智能体，包括 Cursor、Cursor CLI、Gemini CLI、Windsurf、GitHub Copilot、Cline、OpenClaw、ZeroClaw 和 NanoClaw。全部九款工具都容易受到 HalluSquatting 攻击方法的影响。这些工具通常访问高权限命令行以执行来自第三方仓库和注册表的代码。

该攻击不同于以往的推送式提示注入

以往的提示注入属于一类称为推送式攻击，其中每个潜在受害者被单独针对。例如，攻击者将恶意指令注入到单个电子邮件或日历邀请中。由于注入必须发送给每个特定目标，推送式攻击的规模有限。拉取式攻击中，LLM 主动寻找植根于网站上的对抗性提示，但仍受限于无法将大量 LLM 引诱到恶意网站。HalluSquatting 代表一种拉取式攻击，可以不加区分地感染大量设备，而无需单独针对每一个。

常见问题解答

什么是 HalluSquatting？它是如何工作的？

HalluSquatting 是一种新型提示注入攻击，利用大型语言模型倾向于从代码仓库中幻觉出资源标识符的特点。攻击者预测 LLM 最可能幻觉哪些标识符，注册这些标识符，并植入恶意指令，例如安装反向 shell。

哪些 AI 编码工具容易受到 HalluSquatting 攻击？

九款 AI 编码工具容易受到 HalluSquatting 攻击：Cursor、Cursor CLI、Gemini CLI、Windsurf、GitHub Copilot、Cline、OpenClaw、ZeroClaw 和 NanoClaw。这些工具通常从第三方仓库和注册表中拉取代码和资源。

HalluSquatting 与以往的提示注入攻击有何不同？

以往的提示注入是推送式攻击，需要通过电子邮件或日历邀请单独针对每个受害者。HalluSquatting 是一种拉取式攻击，可以不加区分地感染大量设备而无需单独瞄准，因为受影响的 AI 工具会主动寻找植根在仓库中的对抗性提示。