Analistas de las principales universidades israelíes y de la empresa Intuit han presentado una descripción detallada de una nueva clase de ciberamenazas dirigidas a aplicaciones de IA agénticas. La esencia del ataque, denominado Adversarial HalluSquatting, radica en la explotación de una característica conocida de los grandes modelos de lenguaje: su tendencia a alucinar, es decir, a generar identificadores inexistentes de repositorios, habilidades y otros recursos externos.
En su trabajo, los investigadores demuestran cómo estos errores, aparentemente inofensivos, pueden transformarse en un canal eficaz para la entrega de instrucciones maliciosas. En experimentos controlados, dicho ataque provocó la invocación no autorizada de herramientas integradas del agente de IA y, en última instancia, la ejecución remota de código en el sistema objetivo. Se trata específicamente de sistemas agénticos que poseen permisos ampliados: pueden clonar repositorios, instalar extensiones, ejecutar comandos en la terminal y acceder a APIs.
Mecánica del ataque: de la alucinación a la compromisión
El escenario de HalluSquatting se basa en un error predecible del modelo. Cuando un usuario pide a un agente de IA, por ejemplo, clonar un repositorio popular, el modelo debe determinar de forma autónoma la dirección exacta del recurso. Si el identificador correcto no está presente en sus datos de entrenamiento, «inventa» uno similar. El atacante, por su parte, monitoriza de antemano los recursos populares, consulta repetidamente al modelo e identifica qué direcciones inexistentes genera con más frecuencia. Luego registra esos nombres «libres» en GitHub, ClawHub u otras plataformas y coloca allí instrucciones maliciosas. Cuando el agente de IA «alucina» precisamente esa dirección, descarga el recurso malicioso y comienza a trabajar con él como si fuera legítimo.
La diferencia clave de este esquema con respecto a las inyecciones de prompt clásicas es su escalabilidad. El atacante no necesita atacar a una víctima concreta. Basta con publicar una vez el recurso malicioso en un lugar público y esperar a que los agentes lo soliciten por sí mismos. Como señalan los investigadores, un solo recurso comprometido puede provocar la infección de múltiples máquinas, lo que hace que el ataque sea ideal para construir una botnet.
Resultados de las pruebas: una eficacia alarmante
En un estudio a gran escala que incluyó más de 14 000 ejecuciones, se probaron seis modelos base a través de APIs públicas. Los resultados fueron reveladores. Para repositorios nuevos, ausentes en los datos de entrenamiento, la tasa media de alucinaciones fue del 92,4%. En 53 de 60 combinaciones, el modelo nunca indicó al propietario correcto del proyecto. Para proyectos antiguos, esta cifra fue de solo el 0,9%, lo que confirma la dependencia del conjunto de entrenamiento.
El tipo de alucinación más conveniente para el ataque resultó ser cuando el modelo coloca el nombre del repositorio en el campo del propietario, creando una dirección del tipo repo/repo. Este patrón es predecible y a menudo está disponible para su registro. De 6000 consultas sobre proyectos nuevos, los modelos generaron un slug registrable en el 27% de los casos: 1602 veces.
La transición a aplicaciones de IA reales con acceso a la terminal (Cursor, Windsurf, GitHub Copilot, Cline y otras) solo confirmó la gravedad de la amenaza. El ataque de extremo a extremo funcionó en el 20-65% de las ejecuciones, según la aplicación. Se registraron tasas particularmente altas para el sistema OpenClaw: con el modelo Sonnet 4.6, mostró un 100% de éxito tanto en la invocación de herramientas como en la ejecución remota de código.
Skill squatting: ataque a través de habilidades
Un vector de ataque separado se dirige a los mercados de habilidades. En las pruebas en OpenClaw con Sonnet 4.6, de 140 ejecuciones, 127 (90,7%) condujeron a un identificador que podría haber sido registrado por el atacante. El experimento de exfiltración de contexto tuvo un 100% de éxito, y el escenario en el que el dispositivo comprometido se conecta al servidor del atacante funcionó en el 88% de los casos.
Los investigadores propusieron una serie de medidas de protección: verificación obligatoria de la fuente antes de descargar cualquier recurso externo, reserva previa por parte de las plataformas de los nombres que se «alucinan» con frecuencia, así como la limitación de la reutilización peligrosa de nombres populares. Sin embargo, la reacción de los proveedores fue ambigua: GitHub, OpenAI y Anthropic no reconocieron esto como una vulnerabilidad en el marco de sus programas de bug bounty, alegando que el problema radica en las acciones de los agentes y las alucinaciones de los LLM, no en sus plataformas.
Mi comentario experto: Este descubrimiento subraya un problema de seguridad fundamental en los agentes de IA modernos. Mientras la industria se centra en protegerse contra las inyecciones directas de prompt, los atacantes encuentran nuevas y más sofisticadas vías. HalluSquatting no es solo un error, sino una vulnerabilidad arquitectónica cuya raíz reside en la propia naturaleza de los modelos generativos. Ignorar este problema por parte de los proveedores es una señal alarmante. Estamos al borde de una nueva era de ciberamenazas, donde la confianza en una IA que «alucina» puede traducirse en la compromisión de infraestructuras enteras. Sin la implementación de protocolos obligatorios de verificación de recursos a nivel de agente, este tipo de ataques se volverán masivos.