トラビ大学、イスラエル工科大学、そしてIntuitの研究者らは、論文「代理ゾンビネットに警戒せよ：汎用性と移行性を持つ対抗性Hallusquattingを用いたスケーラブルな非誘導型Promptware攻撃」において、「対抗性幻覚侵入（HalluSquatting）」と呼ばれる新たな攻撃手法を明らかにした。これはAIの幻覚現象を利用して、AI代理に悪意のあるコードをダウンロードさせるものである。
HalluSquatting攻撃の仕組み：予測されたAI幻覚資源を事前登録する技術原理
研究者の説明によると、HalluSquattingの攻撃手順は次の通りである。攻撃者はAIモデルが生成し得るソフトウェアリポジトリやオンライン資源への虚偽のリンクを予測し、これらの名前で事前に登録し、そこに悪意のある命令を仕込む。AI代理がこれらの幻覚資源を検索しようとした際、攻撃者が制御する内容を正規のものと誤認して実行してしまう。
この仕組みは従来のネットワーク攻撃における「タイポスキャッティング（Typosquatting）」に似ている。タイポスキャッティングは人間のタイピングミスを利用するが、HalluSquattingはAIモデルの幻覚誤認を狙ったものである。AIアシスタントの機能が質問応答からファイルアクセス、ウェブ検索、コード作成、コマンド実行へと拡大するにつれ、この脅威の影響範囲は著しく拡大している。
テストデータ：コードリポジトリ85%、スキルインストール100%
研究者のテスト結果によると、HalluSquattingによる幻覚発生率は以下の通りである。
コードリポジトリのクローンシナリオ：幻覚発生率85%
スキルインストールシナリオ：幻覚発生率100%
研究チームは以下の4つのAIコーディングアシスタントと代理をテストした。
Cursor：影響を受ける
GitHub Copilot：影響を受ける
Gemini CLI：影響を受ける
OpenClaw：影響を受ける
よくある質問
HalluSquatting攻撃とは何か、それは従来のネットワーク攻撃とどう違うのか？
研究者の説明によると、HalluSquatting攻撃はAIモデルが生成し得る虚偽の資源リンクを予測し、事前に登録して悪意のある命令を仕込むものである。従来の「タイポスキャッティング」との違いは、後者が人間のタイピングミスを利用するのに対し、HalluSquattingはAIの幻覚誤認を狙ったものである。論文はトラビ大学、イスラエル工科大学、そしてIntuitの研究者らによって共同発表された。
どのAIツールがHalluSquatting攻撃の影響を受けているのか？
研究者のテストによると、Cursor、GitHub Copilot、Gemini CLI、OpenClawなどのAIコーディングアシスタントはすべて影響を受けている。スキルインストールシナリオでは幻覚発生率は100%、コードリポジトリのクローンシナリオでは85%に達している。具体的な影響の程度や緩和策については、各ツールの開発者による公式セキュリティアナウンスを参照のこと。
HalluSquattingはどのようにしてAIゾンビネットワークの形成を引き起こす可能性があるのか？
研究者の説明によると、AI代理がタスク実行中に攻撃者が制御する悪意のある資源を検索し、それを正規の内容と誤認して実行した場合、攻撃者はこれらの代理を遠隔操作してコードを実行できる。これにより、攻撃されたAI代理からなるゾンビネットワークが形成される。ゾンビネットはサービス拒否攻撃、暗号通貨マイニング、マルウェア拡散、ランサムウェア攻撃に利用され得る。具体的な攻撃シナリオについては論文を参照のこと。
