El mundo de la inteligencia artificial se enfrenta a una clase de amenazas fundamentalmente nueva. Investigadores de las principales universidades israelíes y de la empresa Intuit han identificado una vulnerabilidad que podría convertir las "alucinaciones" de los modelos de lenguaje en un potente mecanismo para crear botnets. El ataque, denominado Adversarial HalluSquatting, explota la tendencia de los LLM a inventar identificadores inexistentes de repositorios, habilidades y otros recursos externos.
A diferencia de las inyecciones de prompt clásicas, este método no requiere contacto directo con la víctima. Al atacante le basta con registrar un recurso falso en una plataforma como GitHub y esperar a que el agente de IA lo solicite por sí mismo. Esto abre la puerta a ataques masivos y no dirigidos, donde un único recurso comprometido puede infectar a miles de máquinas.
Cómo funciona HalluSquatting
El escenario se basa en un error predecible del modelo. Cuando un usuario pide a un agente que clone un repositorio popular, el modelo debe determinar la dirección exacta. Si no conoce el identificador correcto, genera uno similar pero inexistente. El atacante averigua de antemano qué direcciones "fantasma" genera el modelo con más frecuencia y las registra, colocando instrucciones maliciosas. El agente, al "alucinar" esa dirección, descarga el código malicioso y comienza a trabajar con él como si fuera legítimo.
Los resultados de los experimentos son impresionantes. En más de 14 000 ejecuciones para repositorios nuevos (de GitHub Trending), la tasa media de alucinaciones alcanzó un asombroso 92,4%. En 53 de 60 combinaciones de "repositorio-modelo", el sistema nunca indicó al propietario correcto. Para proyectos antiguos, que probablemente estaban presentes en los datos de entrenamiento, esta cifra cayó al 0,9%.
Pruebas prácticas: de la teoría al código malicioso
El paso de los modelos básicos a las aplicaciones reales (Cursor, Windsurf, GitHub Copilot, Cline) confirmó la gravedad de la amenaza. El ataque de extremo a extremo funcionó en el 20-65% de las ejecuciones. La plataforma OpenClaw resultó ser especialmente vulnerable: con el modelo Sonnet 4.6 mostró un 100% de éxito tanto en la invocación de herramientas integradas como en la ejecución remota de código.
Un bloque aparte de la investigación está dedicado al "skill-squatting", un ataque a través de habilidades en el marketplace ClawHub. En el 90,7% de las ejecuciones, OpenClaw generó un identificador de habilidad que podría haber sido registrado por un atacante. El experimento de exfiltración de contexto tuvo un 100% de éxito, y el escenario en el que el dispositivo comprometido se conecta por sí mismo al servidor del atacante funcionó en el 88% de los casos.
Protección y reacción de los proveedores
Los investigadores recomiendan implementar una verificación obligatoria del origen antes de cualquier descarga de un recurso externo. La búsqueda web antes de clonar reduce la tasa de alucinaciones al 6,6%, pero, como demostraron las pruebas, ningún tipo de prompt es universalmente seguro.
La reacción de los proveedores fue ambigua. GitHub declaró que no se trata de una vulnerabilidad de la plataforma, sino una consecuencia de las alucinaciones de los LLM. Cursor y Anthropic tampoco reconocieron el problema, atribuyéndolo a ataques mediante la captura de nombres de dependencias. Google prometió transmitir la información al equipo de producto.
Mi opinión experta: El hecho de que los grandes proveedores ignoren esta amenaza es una señal alarmante. HalluSquatting no es un error, sino una propiedad fundamental de la arquitectura de los sistemas de IA agénticos. Hasta que no implementemos una verificación obligatoria de todos los recursos externos a nivel de protocolo, este tipo de ataques no harán sino multiplicarse, convirtiendo a los agentes "inteligentes" en perfectos distribuidores de malware.