پژوهشگران امنیتی به تازگی یک روش نفوذ جدید به نام هالو اسکوآتینگ (HalluSquatting) را کشف کردهاند که از پدیده توهم (Hallucination) در مدلهای زبانی هوش مصنوعی سوءاستفاده میکند. این تکنیک میتواند در برخی دستیارهای برنامهنویسی مجهز به قابلیت اجرای خودکار ابزارها، به دانلود و اجرای کدهای مخرب منجر شود. این روش حمله توجه پژوهشگران امنیتی را به یک ریسک نوظهور جلب کرده است.
هالو اسکوآتینگ چیست؟
حمله از نوع هالو اسکوآتینگ، بر پایه پدیدهای بهنام توهم1 (Hallucination) در مدلهای زبانی بزرگ شکل میگیرد.
در این حمله، مهاجم ابتدا رفتار مدلهای هوش مصنوعی را بررسی میکند تا ببیند هنگام مواجهه با نام یک ابزار، کتابخانه یا مخزن جدید، چه آدرسهای اشتباهی را بیشتر پیشنهاد میدهند. از آنجا که این اشتباهها معمولاً الگوی قابلپیشبینی دارند، مهاجم یکی از نامهای جعلی، اما پرتکرار را پیش از دیگران در گیتهاب یا مخازن نرمافزاری ثبت میکند.
سپس مخزن جعلی با ظاهری معتبر، توضیحات قانعکننده و گاهی حتی نسخهای از کد اصلی ساخته میشود. مهاجم میتواند داخل فایلهایی مانند README یا اسکریپتهای نصب، دستورهای مخربی قرار دهد که ایجنت هوش مصنوعی هنگام بررسی مخزن آنها را بخواند و اجرا کند. وقتی کاربر از دستیار برنامهنویسی میخواهد ابزار موردنظر را پیدا، دانلود یا نصب کند، مدل ممکن است همان آدرس جعلی را پیشنهاد دهد. اگر ایجنت به ترمینال و اجرای خودکار دستورات دسترسی داشته باشد، زنجیره حمله میتواند بدون بررسی کافی انسان تا دانلود مخزن، نصب بسته و اجرای کد مهاجم ادامه پیدا کند.
نوشدارو پلاس
برای مثال فرض کنید، هکر یک مخزن جعلی با آدرسی شبیه SuperHacker/WindowsTelemetryOff میسازد. زمانی که دستیار برنامهنویسی دچار توهم میشود، دقیقاً سراغ همین آدرس میرود و بسته مخربِ ازپیشآماده را دانلود میکند. برخی حتی کدهای اصلی و سالم را هم درون این بستههای جعلی قرار میدهند تا کاربر به چیزی شک نکند.
تفاوت هالو اسکوآتینگ با سایر روشها
در حملات قدیمیتر (مثل ساخت دامنههای تقلبی با غلط املایی)، هکر باید منتظر میماند تا کاربر اشتباه کند؛ اما در هالو اسکوآتینگ، ایجنت هوش مصنوعی، تمام مراحل جستجو، دانلود و اجرا را با سرعت بالا و بهصورت خودکار انجام میدهد. در صورت موفقیت حمله، مهاجم از نظر فنی میتواند مسیرهایی مانند ایجاد Reverse Shell، سرقت اطلاعات یا نصب بدافزار را دنبال کند.
چه کسانی در خطر هستند؟
خطر اصلی پژوهش مربوط به دستیارها و ایجنتهایی است که علاوه بر حرفزدن، به ابزارهایی مانند اینترنت، فایلها و ترمینال دسترسی دارند و میتوانند کاری را روی دستگاه اجرا کنند. پژوهش هم مشخصاً برنامههای agentic دارای قابلیت فراخوانی ابزار و ترمینال را آزمایش کرده است.
این تکنیک بین مدلهای زبانی مختلف قابل انتقال است، به این معنی که یک نام جعلی ثبتشده میتواند همزمان چندین هوش مصنوعی متفاوت را فریب دهد. خطر اصلی در این حمله متوجه پلتفرمهای توسعه نرمافزار است که قابلیت اجرای خودکار فرآیندها را در خود جای دادهاند.
جدول زیر فهرستی از ابزارهایی که پژوهشگران در آزمایشهای خود بررسی کردهاند و نحوه دقیق سوءاستفاده از آنها در این حمله را نشان میدهد:
| ابزارهای آزمایششده | سطح حمله | نتیجهی کلی آزمایش |
|---|---|---|
| Cursor، Cursor CLI، Windsurf، Copilot Chat، Cline و Gemini CLI | مخزن جعلی GitHub | دریافت مخزن مهاجم و اجرای payload در ۲۰ تا ۶۵ درصد آزمایشها |
| OpenClaw، NanoClaw و ZeroClaw | skill جعلی در ClawHub | نصب skill جعلی و اجرای ابزار یا کد در ۴۰ تا ۱۰۰ درصد آزمایشها |
کاربران چه کاری باید انجام دهند؟
- محدودیت دسترسی: از دادن دسترسیهای گسترده (مثل کلیدهای API یا حالت اجرای خودکار (Auto-approve)) به دستیارهای هوش مصنوعی خودداری کنید.
- اجرا در محیط آزمایشی: اجرای بستهها و مخازن جدید را ابتدا در محیط sandbox یا container انجام دهید.
- تغییر روند کار: به دستیارهای هوش مصنوعی دستور دهید که همیشه پیش از نصب هر نرمافزار، ابتدا یک جستجوی اینترنتی (Web Search) انجام دهند تا از واقعی بودن آن مطمئن شوند.
- نظارت انسانی: بررسی انسانی کدها و منابعی که هوش مصنوعی پیشنهاد میدهد، همچنان مهمترین لایه دفاعی در برابر این حملات است.
- در دنیای هوش مصنوعی، توهم زمانی رخ میدهد که مدل به جای اعلام اینکه پاسخی را در دادههای آموزشی خود ندارد، اطلاعاتی منطقی اما کاملاً خیالی و نادرست تولید میکند. ↩︎
