El HalluSquatting es un ataque que aprovecha las alucinaciones de los asistentes de IA, quienes suelen inventar nombres de herramientas inexistentes. Los atacantes registran estos nombres falsos en repositorios para que, cuando un usuario pida la herramienta, la IA descargue y ejecute código malicioso. Esto permite crear botnets masivas saltándose firewalls y afectan a herramientas como Copilot y Gemini.





Los asistentes de programación con IA tienen la costumbre de inventar cosas. Si le pides que busque una herramienta popular, a veces te devolverá un nombre que suena real para un proyecto que no existe.

Una nueva investigación, que sus autores llaman HalluSquatting, convierte ese hábito en un ataque: descubrir los nombres falsos que una IA inventa de forma fiable, registrarlos primero y esperar a que el asistente active tu trampa en nombre de un usuario.

Cualquier persona cuyo asistente de IA pueda obtener un recurso externo y luego ejecutar comandos con poca revisión humana está expuesta. En las pruebas, esa ruta llevó al asistente a ejecutar código suministrado por el atacante en la máquina.

Si repites esto con un recurso lo suficientemente popular, un solo nombre plantado puede llegar a muchas máquinas, razón por la cual los investigadores lo plantean como una forma de ensamblar una botnet.

Cómo funciona

El ataque encadena dos peculiaridades de la IA. La primera es una alucinación: una IA que inventa algo y lo presenta como real. La segunda es una inyección de prompts: una instrucción con trampa que secuestra la IA para que siga a un atacante en lugar de al usuario.

Aquí, la inyección es de tipo indirecto, llegando a través del contenido que el asistente obtiene en lugar de algo que el usuario escriba.

1. Elige un objetivo. El atacante encuentra un repositorio o plugin que sea tendencia, para que mucha gente le pida a su IA que lo busque. La tendencia es importante porque un recurso nuevo no está en los datos de entrenamiento de la IA, que es precisamente cuando el modelo empieza a adivinar nombres.
2. Aprende el error. El atacante pide a una IA que busque ese recurso una y otra vez y registra el nombre falso que inventa con más frecuencia.
3. Reclama el nombre falso. El atacante registra ese nombre en GitHub o en una tienda de plugins y oculta instrucciones adversas dentro de él.
4. Espera. Un usuario real pide a su asistente que obtenga el recurso popular. El asistente inventa el mismo nombre falso y extrae la versión del atacante en su lugar. Sus instrucciones ocultas se integran en lo que el asistente cree que se le ordenó hacer, y el asistente secuestrado utiliza su propia herramienta de ejecución de comandos para llevarlas a cabo.

La trampa no es código que se ejecuta por sí solo. Funciona porque estos asistentes mantienen una terminal entre sus herramientas integradas, por lo que, una vez que las instrucciones plantadas toman el control, "instalar un bot" es simplemente algo que el asistente puede hacer.

Lo que lo hace práctico es que los nombres falsos no son aleatorios. En los experimentos de los investigadores, el error fue consistente: en diferentes formulaciones y modelos de distintas empresas, el asistente recurrió al mismo nombre incorrecto en hasta el 85% de las solicitudes de repositorios y el 100% de las instalaciones de habilidades. Estas son las tasas máximas que reportan los autores; el documento contiene el desglose completo.



Lo probaron contra herramientas como Cursor, Windsurf, GitHub Copilot, Cline, Google Gemini CLI y la familia de asistentes OpenClaw, logrando que cada uno ejecutara el código del atacante. Las cargas de prueba eran marcadores de posición inofensivos, no malware real; uno real seguiría el mismo camino.

La investigación https://sites.google.com/view/agentic-botnets/home proviene de Aya Spira y sus colegas del grupo de Ben Nassi en la Universidad de Tel Aviv, con Stav Cohen en Technion y Ron Bitton en Intuit. El grupo de Nassi ya ha hecho esto antes, creando un gusano de correo electrónico de IA que se propaga solo y una invitación de calendario que secuestró el Gemini de Google.

El equipo afirma que informó a los proveedores afectados, creadores de modelos y operadores de mercados antes de hacerlo público, y omitió los pasos exactos necesarios para copiar el ataque.

Por qué es un nuevo tipo de botnet

Las botnets tradicionales requieren trabajo para construirse. Se basan en contraseñas débiles o malware que se propaga de máquina en máquina, y generalmente agrupan un solo tipo de dispositivo, como Mirai hizo con cámaras y routers.

Esto no necesita nada de eso. Sin contraseñas, sin propagación de gusanos, y debido a que la carga llega como texto que la IA lee en lugar de un exploit de red, no es el tipo de cosa que un firewall vigila. Las máquinas en las que aterriza pueden ejecutar cualquier sistema operativo, no una flota uniforme.

La IA es la furgoneta de reparto aquí, no la carga. Las instrucciones plantadas la engañan para instalar un bot ordinario, y una vez que ese bot está funcionando, la máquina pertenece a una botnet como cualquier otra. Lo nuevo es la combinación que lo logra: un nombre que una IA inventa predeciblemente, un mercado donde cualquiera puede registrar ese nombre y un agente con permiso para obtener y ejecutar.

Las piezas no son nuevas, aunque la combinación sí lo sea. Los atacantes primero aprendieron a registrar nombres de paquetes de software falsos que las IA inventan, un truco llamado "slopsquatting".

En enero de 2026, Charlie Eriksen de Aikido Security encontró uno de esos paquetes npm inventados, react-codeshift, que instrucciones escritas por IA ya habían propagado a 237 proyectos de código, con agentes intentando instalarlo diariamente; él mismo lo registró aquí antes de que cualquier atacante pudiera hacerlo, por lo que no causó daño.

La idea luego saltó de los paquetes a las direcciones web. La Unit 42 de Palo Alto Networks describió recientemente el "phantom squatting", aquí, aproximadamente 250,000 dominios alucinados que se encuentran sin registrar y libres para ser tomados.

HalluSquatting es la versión que llega hasta la ejecución de código secuestrando al agente que realiza la búsqueda. Y los mercados destinados a filtrar las subidas maliciosas no son un gran respaldo: en junio, Trail of Bits logró colar "habilidades" maliciosas a través de varios escáneres de tiendas en menos de una hora aquí.

Qué hacer

Todo depende de una condición: un agente que obtiene un recurso externo y lo ejecuta sin que nadie lo revise. Cierra eso y el ataque se detiene. La solución más efectiva es también la más simple: haz que el asistente busque antes de obtener.

Una búsqueda real basa al agente en lo que realmente existe y reduce drásticamente las conjeturas. Ese es un trabajo para las personas que construyen estas herramientas, quienes también pueden entrenar al planificador (la parte que mapea una solicitud a pasos) para buscar un recurso primero y tratar palabras como clone, install y fetch como banderas de alerta.

Tú y los equipos de seguridad tienen palancas a corto plazo. Por defecto, estos agentes preguntan antes de ejecutar un comando. La exposición son los modos de ejecución automática (como la bandera skip-permissions de Claude Code o el modo yolo de Gemini CLI) que desactivan eso, por lo que la primera regla es no dejar que un agente se ejecute sin supervisión en nada que haya obtenido.

Algunas herramientas ahora añaden una capa de seguridad que inspecciona lo que el agente lee o está a punto de hacer antes de actuar, como el modo auto de Claude Code y la verificación Conseca de Gemini CLI, pero eso reduce el riesgo en lugar de eliminarlo. Ningún interruptor único cierra esto, así que verifica también que un nombre de repositorio o paquete se resuelva a la fuente real y esperada antes de que un agente lo descargue, y trata cualquier nombre que una IA te dé como una suposición, no como un hecho.

Las plataformas tienen su propia palanca. Pueden dejar de permitir que las personas reutilicen nombres de repositorios conocidos bajo cuentas nuevas y pre-registrar los nombres falsos que las IA probablemente inventen, para que esos nombres apunten de vuelta al proyecto real.

Los investigadores llaman a sus resultados un límite inferior: "Los ataques siempre mejoran; nunca empeoran". No hay un único CVE que parchear aquí. Lo plantean no como el error de un producto, sino como una debilidad en la forma en que los agentes de IA confían en nombres que nunca se les dieron realmente.

Fuente:
THN