Neuf outils IA populaires exploitables via HalluSquatting pour créer des botnets

Des chercheurs ont découvert une nouvelle classe d'attaque par injection de prompts, baptisée HalluSquatting, capable d'exploiter neuf outils IA populaires pour assembler des botnets massifs. Contrairement aux attaques précédentes limitées à des cibles individuelles, cette technique pull-based tire parti de la tendance inhérente des modèles de langage à halluciner des identifiants de ressources, ouvrant la voie à des exploitations à grande échelle.

Le mécanisme repose sur un comportement fondamental des assistants de codage et des agents IA : leur incapacité à distinguer les instructions légitimes des commandes malveillantes, combinée à leur habitude de récupérer du code dans des dépôts et registres. Les outils affectés incluent Cursor, Cursor CLI, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw et NanoClaw. L'attaque fonctionne en prédisant les identifiants que les LLM sont les plus susceptibles d'halluciner, puis en les enregistrant et en les peuplant d'instructions pour installer des reverse shells ou d'autres logiciels malveillants. Puisque ces assistants accèdent couramment à des lignes de commande hautement privilégiées pour exécuter du code tiers, l'infection peut se propager indiscriminément à grande échelle.

Cette vulnérabilité expose un problème structurel : les développeurs d'IA ne peuvent actuellement pas résoudre la racine du problème — l'incapacité des LLM à établir une frontière fiable entre sources de confiance et non fiables. Ils doivent se contenter de construire des garde-fous élaborés pour atténuer les dégâts. Jusqu'à présent, les injections de prompts se divisaient en deux catégories : les attaques push, ciblant des victimes individuelles, et les attaques pull, où les LLM cherchent activement des prompts adversariaux sur des sites malveillants. Aucune n'avait réussi à passer à l'échelle. HalluSquatting change cette donne en combinant une attaque pull avec la capacité des assistants de codage à exécuter automatiquement du code, contournant ainsi les limitations précédentes et créant un vecteur d'attaque sans précédent pour les injections de prompts.