人工智能仓库调用漏洞HalluSquatting技术细节全面披露

昨天（7月9日），科技媒体Tom's Hardware报道了一项名为HalluSquatting的新型AI安全漏洞。简单来说，这个漏洞专门瞄准AI在调用工具时产生的“幻觉”现象——它会将根本不存在的代码仓库地址误当作真实地址来使用。

这里先解释一下什么是AI幻觉：指AI模型生成的不准确或具有误导性的结果，可能源于训练数据不足、模型做出不合理的假设，或者训练数据本身存在偏差。而这次，研究人员发现这一特性可以被恶意利用来发动攻击。

这项研究来自特拉维夫大学、以色列理工学院和Intuit。他们发现，智能体AI在遇到陌生的项目、仓库或工具名称时，会自动“脑补”出一个看似合理但实际上错误的地址——这就为攻击者打开了可乘之机。

举个例子，假设一个新仓库的实际地址是OriginalOwner/WindowsTelemetryOff，但因为模型训练数据没有覆盖这个较新的项目，它可能会自动生成类似SuperHacker/WindowsTelemetryOff、WindowsTelemetryOff/WindowsTelemetryOff，或者带有拼写误差的近似地址。

更危险的是，当Claude这类代码智能体收到“运行windowstelemetryoff脚本”这样的指令时，模型很可能直接凭空捏造出一个仓库名，即便它已经执行了网页搜索，最后还是可能访问到一个恶意版本，并运行其中的代码。

一旦恶意代码在用户设备上执行，后果相当严重：可能触发反向shell、窃取数据与密码、安装软件、启动加密货币挖矿，甚至继续控制智能体执行后续操作。

量化的结果更为直观：模型对近期代码仓库位置的幻觉率最高能达到85%，对热门智能体技能甚至达到100%。具体来看，2025年发布的GitHub仓库名称，模型平均幻觉率是92.4%；而2019年或更早发布的仓库，地址错误率只有0.9%。

在应用层面，不同工具的攻击成功率差异也很大。Cursor、Gemini CLI和Copilot这类工具的漏洞攻击成功率在20%到35%之间，而OpenClaw及其变体则接近80%到100%。

参考