Forschende haben eine neuartige Angriffsmethode namens HalluSquatting entwickelt, die das Potenzial hat, massive Botnets aufzubauen und groß angelegte Distributed-Denial-of-Service-Angriffe (DDoS) durchzuführen. Dieser neue Ansatz nutzt die Tendenz von Großen Sprachmodellen (LLMs), bestimmte Ressourcen-Identifikatoren zu halluzinieren, und stellt eine Skalierung von Prompt-Injection-Angriffen dar, die bisher nicht möglich war.
Die Methode zielt auf neun gängige KI-Code-Assistenten und -Agenten ab, darunter Cursor, Cursor CLI, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw und NanoClaw. Diese Tools sind anfällig, da sie im Rahmen ihrer täglichen Aufgaben regelmäßig Code und andere Ressourcen aus Repositories und Registries abrufen.
Wie HalluSquatting funktioniert
HalluSquatting, kurz für „adversarial hallucination squatting“, basiert auf der Schwierigkeit von LLMs, die korrekte Position einer vom Nutzer angefragten Ressource genau zu identifizieren. Wenn beispielsweise ein Entwickler einen Code-Agenten anweist, ein beliebtes Repository zu klonen, halluziniert das LLM dessen korrekten Speicherort in bis zu 85 Prozent der Fälle. Bei trendenden „Skills“ – Anweisungen, Skripte oder Ressourcen, die Agenten spezielle Fähigkeiten verleihen – kann die Halluzination sogar 100 Prozent erreichen.
Angreifer nutzen diese Schwäche, indem sie vorhersagen, welche Identifikatoren die LLMs am ehesten halluzinieren werden. Sie registrieren diese falsch vorhergesagten Namen und platzieren dort bösartige Anweisungen, etwa zur Installation von Reverse Shells (Programme, die Angreifern Fernzugriff ermöglichen) oder anderer Schadsoftware. Da die betroffenen KI-Assistenten und -Agenten über Zugriff auf Befehlszeilen verfügen, führen sie diese Anweisungen aus, sobald sie die manipulierte Ressource abrufen.
Skalierbarkeit und Auswirkungen
Im Gegensatz zu früheren Prompt-Injection-Angriffen, die oft auf einzelne Opfer zugeschnitten waren („Push“-Angriffe) oder bei denen es an Mechanismen fehlte, eine große Anzahl von LLMs zu bösartigen Websites zu locken („Pull“-Angriffe), ermöglicht HalluSquatting eine massenhafte Infektion von Geräten. Die Forscher betonen, dass die skalierbare Eigenschaft des Angriffs es ermöglicht, eine große Anzahl von Nutzern mit minimalem Aufwand zu kompromittieren, indem beliebte Ressourcen ins Visier genommen werden.
Die Auswirkungen reichen von der Bildung großer Botnets für DDoS-Angriffe oder Kryptowährungs-Mining bis hin zu umfangreichen Ransomware-Kampagnen. Die Halluzinationen treten auf einer grundlegenden Ebene in allen sechs großen LLMs auf, darunter Gemini-2.5-flash, Gemini-2.5-pro, GPT-5.1, GPT-5.2, Sonnet-4.5 und Opus-4.5. Dabei folgen die am häufigsten falsch angegebenen Speicherorte vorhersehbaren Mustern. Repositories, die vor 2019 veröffentlicht wurden, weisen eine geringe Halluzinationsrate von 0,9 Prozent auf, während bei Repositories aus dem Jahr 2025 die Rate auf 92,4 Prozent steigt.
Forscher und Hintergrund
Die Forschung wurde von Aya Spira, Elad Feldman, Avishai Wool und Ben Nassi von der Universität Tel Aviv, Stav Cohen vom Technion und Ron Bitton von Intuit durchgeführt. Ihre Ergebnisse wurden am Mittwoch in einem Fachartikel veröffentlicht. Der Begriff „Squatting“ ist eine Anspielung auf „Typosquatting“, bei dem Angreifer Domainnamen oder Paket-Identifikatoren registrieren, die bekannten Namen ähneln, um Nutzer anzulocken.
Thema: Technologie / KI allgemein. Quelle/Inspiration: Ars Technica.