7月8日以色列特拉维夫大学、Technion和 Intuit 的研究人员联合发表了一篇论文，提出了一种叫 HalluSquatting 的新型攻击方式。

主要发现让我出了一身冷汗：AI编程助手推荐的 GitHub 仓库名称，平均幻觉率高达 %。

不是拼错了包名，不是搞混了版本号——是整个仓库根本不存在AI凭空捏造了一个名字。老实说，

而攻击者已经在利用这一点了。怎么说呢，

什么是 HalluSquatting

论文全名叫 "Beware of Agentic Botnets: Scalable Untargeted Promptware Attacks via Universal and Transferable Adversarial HalluSquatting"名字很长，主要思路三句话讲清：

1. AI 编程助手会编造不存在的包名和仓库名
2. 同一个问题反复问。AI 编出来的假名字惊人地一致——%% 的概率编出同一个名字
3. 攻击者提前注册这些假名字，埋入恶意代码和 Prompt 注入——坐等开发者通过 AI 上钩

You may have heard of typosquatting攻击者注册和知名包相似的名字，比如 loadash 冒充 lodash.

*使用者痛点*: 你是否担心每次 AI 推荐的新依赖都是使用较稳定的？如果不检查，就可能被恶意代码悄悄植入。

*痛点解决*: 先验证再安装，让安全成为第一步先。

攻击怎么运作的

整个攻击链分五步：

至于第一步先。挖掘“幻觉包名”

攻击者选一个热门开源项目，反复问不同的 AI 助手：“帮我克隆这个项目”或“帮我安装这个工具”。AI 会编造一个不存在的仓库名或包名。话说回来，至于关键发现，不同使用者问同一个问题。AI 编出来的假名字有 58% 的概率是相同的。

This means attackers can predict which fake names AI will suggest on a large scale.

从接下来来看，抢注假名字

Ace takes those “AI favorite fake names” and registers m on GitHub,npm,PyPI with seemingly normal but secretly malicious code.

：植入 Prompt 注入

This is where HalluSquatting differs from typical supply‑chain attacks. Attackers not only drop malicious code but also embed Prompt Injection in README or comments—so when an AI reads it。it gets “brainwashed” into executing attacker‑preset actions.

再看第四步，等 AI 上钩

A real developer asks AI: “帮我安装这个工具”，AI outputs same fake name and automatically pulls from npm/GitHub—getting attacker’s malicious version.

第五步这方面，感染扩散

The hijacked AI agent starts executing attacker instructions: open reverse shells,steal passwords/ tokens,mine crypto—potentially infecting or AI agents into a botnet.

• The paper’s “Agentic Botnets” refers exactly to this network of compromised AIs.

有多严重？怎么说呢，论文里的数字

• *1* 越新的项目。AI 越容易编造假名字，老项目因为训练数据充分，幻觉率仅为 %. 而 2025 年新发布项目几乎全是“瞎猜”。
• **这代表着** 当你让 AI 帮你克隆最近火起来的新项目时它给你的仓库地址很可能是假的。

*哪些工具中招了*

说到*实际案例，react-codeshift*

• This isn’t just oretical—it happened in real life.
• Aikido Security researcher Charlie Eriksen spotted that many AIs were recommending an npm package called react-codeshift'。which simply doesn't exist on npm.
• The fake was generated by an AI assistant’s hallucination.
• Eriens discovered that **237** GitHub repositories already had installation commands for this fictitious package inside ir auto‑generated code.
• If someone had pre‑registered that name on npm with malicious payloads,all those projects would be compromised—without anyone knowing y installed a bogus dependency.
• This pattern repeats itself: Nx supply‑chain attack,Axios npm breach . These incidents illustrate how quickly an attacker can turn an “AI hallucination” into a real threat vector.

*防护速查表*

* 最关键的一条原则："永远不要让 AI Agent 自动执行未经你确认的 npm install！" 一行命令即可验证：

# 在让 AI 安装之前先跑一次：
npm view xxx

⇘

点击这里了解更多防护技巧 →>
\t\t\t\t\t\t\t\t\t \t\t