研究者らは、Cursor、GitHub Copilot、Gemini CLIを含む9つの人気AIコーディングツールに影響を与える、HalluSquattingと呼ばれる新しいプロンプトインジェクション攻撃を発見しました。この攻撃は、大規模言語モデルが正当な命令と悪意のある命令を区別できないことと、コードリポジトリからリソース識別子を幻覚（ハルシネーション）する傾向を利用します。この脆弱性により、攻撃者は予測された幻覚識別子を登録し、それらに悪意のある命令を仕込むことで、大規模なボットネットを構築し、大規模なDDoS攻撃を実行することが可能になります。プロンプトインジェクションはAIセキュリティにおける最大の脅威として浮上しており、LLMは信頼されたユーザー命令と信頼されていない第三者コンテンツの間の境界を本質的に強制することができません。
HalluSquattingはLLMのリソース識別子の幻覚を悪用する
敵対的幻覚スクワッティングの略であるHalluSquattingは、サードパーティのリソースからコードを実行するために高特権のコマンドラインにアクセスするコーディングエージェントやアシスタントに対して効果を発揮します。この攻撃手法は、LLMが最も幻覚しやすい識別子を予測し、それらを登録して、リバースシェルやその他の悪意のあるソフトウェアをインストールするための命令を仕込みます。AIコーディングアシスタントやエージェントは、日常業務の通常の過程で、リポジトリやレジストリからコードやその他のリソースを定期的に取得します。信頼されたソースと信頼されていないソースの間の境界を強制する方法がないため、AIエンジン開発者は、根本原因を解決するのではなく、被害を軽減するために設計された緻密なガードレールを構築するしかありません。
9つのAIコーディングツールの脆弱性が確認される
この攻撃は、Cursor、Cursor CLI、Gemini CLI、Windsurf、GitHub Copilot、Cline、OpenClaw、ZeroClaw、NanoClawを含むAIコーディングアシスタントやエージェントに対して効果があります。9つのツールすべてがHalluSquatting攻撃手法に対して脆弱です。これらのツールは一般的に、サードパーティのリポジトリやレジストリからコードを実行するために高特権のコマンドラインにアクセスします。
従来のプッシュ型プロンプトインジェクションとの違い
従来のプロンプトインジェクションは、各潜在的な被害者が個別に標的とされるプッシュ攻撃と呼ばれるクラスに分類されていました。例えば、攻撃者は個々のメールやカレンダーの招待状に悪意のある命令を注入します。注入は各特定のターゲットに送信されなければならないため、プッシュ型攻撃の規模は限られています。LLMが積極的にウェブサイトに仕掛けられた敵対的プロンプトを探し出すプル型攻撃は、大量のLLMを悪意のあるサイトに誘導する方法がないため、依然として限定的でした。HalluSquattingは、個別に標的とすることなく、大量のデバイスを無差別に感染させることができるプル型攻撃です。
FAQ
HalluSquattingとは何で、どのように機能しますか？
HalluSquattingは、大規模言語モデルがコードリポジトリからリソース識別子を幻覚する傾向を悪用する新しいプロンプトインジェクション攻撃です。攻撃者はLLMが最も幻覚しやすい識別子を予測し、それらの識別子を登録し、リバースシェルのインストールなどの悪意のある命令を仕込みます。
どのAIコーディングツールがHalluSquatting攻撃に対して脆弱ですか？
9つのAIコーディングツールがHalluSquattingに対して脆弱です：Cursor、Cursor CLI、Gemini CLI、Windsurf、GitHub Copilot、Cline、OpenClaw、ZeroClaw、NanoClaw。これらのツールは、サードパーティのリポジトリやレジストリからコードやリソースを定期的に取得します。
HalluSquattingは従来のプロンプトインジェクション攻撃とどのように異なりますか？
従来のプロンプトインジェクションは、メールやカレンダーの招待状を通じて各被害者を個別に標的とする必要があるプッシュ型攻撃でした。HalluSquattingは、影響を受けるAIツールがリポジトリに仕掛けられた敵対的プロンプトを積極的に探し出すため、個別の標的設定なしに大量のデバイスを無差別に感染させることができるプル型攻撃です。
