IA · 8 luglio 2026 · 3 min di lettura
La trappola dell'allucinazione: come l'HalluSquatting trasforma gli agenti IA in botnet
In sintesi: I ricercatori di sicurezza hanno scoperto una nuova vulnerabilità battezzata 'HalluSquatting' che colpisce i principali assistenti e agenti di sviluppo IA come Cursor, Copilot e Windsurf. Sfruttando la tendenza dei modelli linguistici ad allucinare pacchetti e repository inesistenti, i cybercriminali registrano preventivamente questi identificatori fasulli caricandovi script dannosi che vengono eseguiti in automatico sui terminali degli utenti.
di Team Mocchi's
Oltre il "push": l'evoluzione degli attacchi all'IA generativa
Fino ad oggi, la sicurezza nell'ambito dell'intelligenza artificiale si è concentrata quasi interamente sulle minacce di tipo prompt injection. In questo scenario tradizionale, definito di tipo "push", un utente malintenzionato inserisce comandi nascosti all'interno di dati esterni (come e-mail o file di testo) sperando che l'LLM, analizzandoli, li esegua. Si tratta però di attacchi mirati, difficili da scalare su base globale perché richiedono di inviare fisicamente l'esca a ogni singola vittima.
Le cose sono cambiate drasticamente. Un gruppo di ricercatori di sicurezza, guidato da Spira et al., ha appena svelato una nuova, temibile classe di minaccia denominata HalluSquatting (abbreviazione di adversarial hallucination squatting). Come riportato in dettaglio da Ars Technica, questo attacco di tipo "pull" sfrutta una delle debolezze più note e finora ritenute innocue dei modelli linguistici: la tendenza intrinseca ad allucinare informazioni inesistenti.
La meccanica dell'allucinazione preventiva
L'HalluSquatting non manipola l'input dell'utente con istruzioni dirette. Si basa invece sulla capacità dei cybercriminali di prevedere le allucinazioni di un LLM. Quando uno sviluppatore chiede a un assistente di programmazione basato su IA di generare del codice per risolvere un problema complesso, l'algoritmo spesso "inventa" l'esistenza di librerie software, pacchetti npm, moduli PyPI o repository GitHub che in realtà non esistono, ma che suonano plausibili (ad esempio, utility-string-parser o simili).
Gli attaccanti monitorano o prevedono quali identificatori di risorse fasulle verranno allucinati con maggiore probabilità dai modelli più diffusi. Successivamente, registrano preventivamente (squatting) questi nomi esatti sui registri pubblici di pacchetti o su GitHub, caricandovi all'interno codice dannoso.
Quando l'agente IA propone lo script all'utente, o tenta autonomamente di risolvere le dipendenze scaricando i pacchetti consigliati, finisce per effettuare il "pull" (il download attivo) del codice malevolo direttamente dal registro pubblico ufficiale, installando malware, trojan o chiavi di accesso remoto (reverse shell) sulla macchina della vittima.
I software nel mirino: da Cursor a Copilot
Il pericolo principale dell'HalluSquatting risiede nel livello di autonomia concesso ai moderni agenti di sviluppo. Molti degli strumenti utilizzati quotidianamente dai team di ingegneria del software integrano terminali e shell di comando con permessi di esecuzione per accelerare il lavoro.
Lo studio ha dimostrato che ben 9 tra i più popolari strumenti e agenti di programmazione IA sono vulnerabili a questa tecnica. Tra questi figurano nomi di primissimo piano come Cursor, Cursor CLI, GitHub Copilot, Windsurf, Gemini CLI e Cline, oltre a framework open-source come OpenClaw, ZeroClaw e NanoClaw.
Dal momento che questi agenti non si limitano a suggerire testo, ma eseguono comandi per testare il codice, compilare applicazioni o installare dipendenze, il codice malevolo ospitato sul pacchetto "allucinato" viene eseguito in background senza alcuna interazione o consapevolezza da parte dello sviluppatore umano.
Il rischio di botnet globali autogenerate
A differenza dei tradizionali attacchi informatici, l'HalluSquatting non richiede ai pirati informatici di infiltrarsi in un'infrastruttura esistente o di avviare campagne di phishing. È l'intelligenza artificiale stessa a fare da vettore di infezione, conducendo spontaneamente gli utenti verso le trappole predisposte dai cybercriminali.
Questa scalabilità intrinseca trasforma la minaccia da un rischio individuale a un pericolo sistemico. Gli aggressori possono compromettere migliaia di macchine di sviluppo in tutto il mondo con uno sforzo minimo, semplicemente occupando i "vuoti di realtà" lasciati dagli LLM nei registri pubblici. Le macchine infette possono così essere aggregate in botnet massive, utilizzate per sferrare attacchi DDoS o per esfiltrare proprietà intellettuale e segreti industriali direttamente dagli ambienti di sviluppo aziendali.
Il punto di Mocchi's
Per una software agency come Mocchi's e per tutte le aziende italiane che stanno integrando agenti IA nei propri flussi di lavoro, l'HalluSquatting rappresenta un severo campanello d'allarme. L'entusiasmo per l'incredibile aumento di produttività offerto da tool come Cursor o Cline non deve farci dimenticare le regole fondamentali della sicurezza informatica. Consentire a un agente IA di eseguire script in terminali non isolati o di scaricare dipendenze in autonomia è una pratica ad altissimo rischio che va immediatamente corretta. La soluzione risiede nell'adozione di ambienti di esecuzione rigorosamente isolati (sandboxing), nell'implementazione di proxy locali per i registri di pacchetti che blocchino il download di librerie non verificate, e nel mantenere sempre un controllo umano ("human-in-the-loop") prima di autorizzare qualsiasi comando di installazione.