El mundo de la IA agente se enfrenta a una nueva amenaza que explota una debilidad fundamental de los grandes modelos de lenguaje (LLM): su tendencia a alucinar. No se trata de hechos ficticios en las respuestas, sino de la creación de canales completos para la entrega de código malicioso. Los investigadores han identificado una clase de ataques denominada Adversarial HalluSquatting, que convierte los errores del modelo en una herramienta para comprometer sistemas enteros.
Cómo funciona HalluSquatting
La esencia del ataque es simple y elegante. Cuando un agente de IA recibe una orden, por ejemplo, clonar un repositorio popular, debe determinar por sí mismo la URL exacta. Si el modelo no conoce el identificador correcto (especialmente para proyectos nuevos), es muy probable que «invente» uno similar. El atacante, tras analizar previamente el comportamiento del modelo, registra estos nombres inventados en GitHub u otras plataformas y coloca allí instrucciones maliciosas. Cuando el agente posteriormente accede a esa dirección, captura el recurso malicioso como si fuera legítimo.
A diferencia de las inyecciones de prompt tradicionales, este método no requiere interacción directa con la víctima. Basta con publicar un recurso malicioso una vez en un lugar público y esperar a que el agente acceda a él por sí mismo. Un solo recurso comprometido puede provocar la infección de miles de máquinas.
Resultados de las pruebas: magnitud del desastre
En más de 14 000 ejecuciones utilizando seis modelos base (Gemini 2.5 Flash, GPT-5.1, Sonnet 4.5, entre otros) se obtuvieron datos impresionantes pero alarmantes. Para repositorios nuevos de GitHub Trending, la tasa media de alucinaciones fue del 92,4%. En 53 de 60 combinaciones de «repositorio-modelo», el sistema nunca indicó al propietario correcto. Para proyectos antiguos presentes en los datos de entrenamiento, esta cifra cayó al 0,9%. El tipo de alucinación más conveniente para el ataque, cuando el modelo coloca el nombre del repositorio en el campo del propietario (repo/repo), se produjo en el 27% de las ejecuciones, es decir, 1602 veces.
Ataques reales a aplicaciones
Cuando los investigadores pasaron de los modelos base a las aplicaciones en funcionamiento (Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI, etc.), los resultados resultaron aún más aterradores. El ataque de extremo a extremo funcionó en el 20-65% de las ejecuciones, dependiendo de la aplicación y el modelo. Destacó especialmente la plataforma OpenClaw: con el modelo Sonnet 4.6 mostró un 100% de éxito tanto en la invocación de herramientas integradas como en la ejecución remota de código (RCE).
Un bloque separado de la investigación se dedicó a los ataques a través de habilidades (skill squatting) en el marketplace ClawHub. De 140 ejecuciones, 127 (90,7%) condujeron a un identificador que podría haber sido registrado por un atacante. El experimento de exfiltración de contexto tuvo un 100% de éxito, y el escenario en el que un dispositivo comprometido se conecta por sí mismo al servidor del atacante funcionó en el 88% de los casos.
Mi análisis muestra que estamos al borde de una nueva era de ciberamenazas, donde los agentes de IA se convierten no solo en herramientas, sino también en puntos de entrada vulnerables. Las medidas de protección actuales, como la búsqueda web antes de clonar, solo ayudan parcialmente: incluso con su uso, el 6,6% de los resultados pueden ser alucinaciones. Plataformas como GitHub y ClawHub deben asumir la responsabilidad de reservar nombres que se inventan con frecuencia, y los desarrolladores de aplicaciones de IA deben implementar una verificación obligatoria de todos los recursos externos antes de su descarga. Ignorar esta amenaza podría llevar a la creación de botnets globales controlados a través de alucinaciones.