در حمله‌ای موسوم به  HalluSquatting، مهاجمان می‌توانند نام پروژه‌ها، مخازن یا منابعی را که مدل‌های هوش مصنوعی به‌اشتباه تولید می‌کنند، از قبل ثبت کرده و از آن‌ها برای رساندن کد مخرب به کاربران استفاده کنند.

این تهدید زمانی جدی‌تر می‌شود که پای دستیارهای برنامه‌نویسی و عامل‌های هوش مصنوعی به میان می‌آید؛ ابزارهایی که فقط پاسخ متنی نمی‌دهند و می‌توانند به اینترنت متصل شوند، فایل دریافت کنند یا حتی روی سیستم کاربر فرمان اجرا کنند.

 HalluSquatting  چیست؟

HalluSquatting  از ترکیب دو مفهوم  Hallucination  به معنای «توهم هوش مصنوعی» و  Squatting  به معنای تصاحب یا ثبت منابعی با هدف سواستفاده تشکیل شده است.

مدل‌های زبانی بزرگ یا  LLMها گاهی هنگام پاسخ‌گویی، نام یک کتابخانه، پکیج، مخزن نرم‌افزاری یا منبع اینترنتی را تولید می‌کنند که به هیچ عنوان وجود ندارد. این اتفاق به‌خودی خود ممکن است فقط یک خطای معمول هوش مصنوعی به نظر برسد؛ اما اگر مهاجم متوجه شود مدل‌ها در پاسخ به پرسش‌های مشابه، به صورت مرتب یک نام جعلی مشخص را تولید می‌کنند، می‌تواند همان منبع را پیشاپیش در اختیار بگیرد.

به این ترتیب، چیزی که در ابتدا یک «توهم» به نظر می‌رسد، به یک نقطه ورود برای حمله تبدیل می‌شود.

هکرها چگونه از توهم هوش مصنوعی سواستفاده می‌کنند؟

سناریوی HalluSquatting از یک ایده ساده اما خطرناک استفاده می‌کند. مهاجم ابتدا بررسی می‌کند که یک مدل هوش مصنوعی در پاسخ به پرسش‌های مختلف چه نام‌های جعلی‌ای تولید می‌کند. اگر یک نام مشخص به‌طور تکرارشونده توسط مدل ساخته شود، مهاجم می‌تواند آن نام را در یک مخزن کد، سامانه انتشار پکیج یا منبع دیگری ثبت کند و در آن محتوای مخرب قرار دهد.

در مرحله بعد، کاربر از دستیار هوش مصنوعی می‌خواهد یک نرم‌افزار یا منبع مشخص را پیدا یا نصب کند. مدل همان نام جعلی را پیشنهاد می‌دهد و اگر ابزار امکان دریافت خودکار منبع را داشته باشد، ممکن است نسخه‌ای را دریافت کند که حالا در اختیار مهاجم است.

در نتیجه، زنجیره حمله می‌تواند چنین شکلی داشته باشد: توهم مدل → شناسایی نام جعلی → ثبت منبع توسط مهاجم → پیشنهاد همان منبع توسط AI → دریافت خودکار → اجرای کد مخرب

تفاوت مهم این روش با بسیاری از حملات سنتی این است که مهاجم معمولا نیازی ندارد قربانی مشخصی را هدف قرار دهد یا برای او پیام فیشینگ ارسال کند؛ کافی است منبعی را که مدل‌ها احتمالا به آن اشاره می‌کنند، زودتر از دیگران تصاحب کند

 HalluSquatting  می‌تواند به ساخت بات‌نت منجر شود

در ژوئیه ۲۰۲۶، پژوهشگران دانشگاه تل‌آویو، Technion  و شرکت Intuit در پژوهشی با عنوان «Beware of Agentic Botnets» جزئیات حمله‌ای را منتشر کردند که آن را  Adversarial Hallucination Squatting  نامیده‌اند.

پژوهشگران نشان دادند که مدل‌های زبانی در برخی سناریوها با نرخ بالایی منابعی را تولید می‌کنند که وجود خارجی ندارند. در آزمایش‌های آن‌ها، نرخ تولید منابع خیالی در سناریوهای کلون‌کردن مخزن به ۸۵ درصد و در سناریوهای نصب Skill به ۱۰۰ درصد رسید. همچنین پژوهشگران نشان دادند که برخی از این توهم‌ها میان مدل‌های مختلف و حتی در پاسخ به پرسش‌های متفاوت قابل انتقال و پیش‌بینی هستند.

این ویژگی از نظر امنیتی اهمیت زیادی دارد؛ زیرا اگر مهاجم بتواند رفتار مدل را پیش‌بینی کند، دیگر لازم نیست منتظر بماند تا یک کاربر به‌طور تصادفی یک منبع جعلی را پیدا کند. او می‌تواند منابعی را که احتمال دارد مدل پیشنهاد دهد، از قبل آماده کند.

پژوهشگران عملی‌بودن این حمله را روی چندین ابزار هوش مصنوعی بررسی کردند؛ در نهایت مشخص شد در محیط‌هایی که مدل به ترمینال و ابزارهای اجرایی دسترسی دارد، این روش می‌تواند به اجرای از راه دور ابزارها و حتی اجرای کد از راه دور منجر شود.

از توهم کد تا توهم دامنه؛ تهدید بزرگ‌تر از چیزی است که به نظر می‌رسد 

HalluSquatting تنها شکل سواستفاده از توهمات هوش مصنوعی نیست. در پژوهشی جداگانه، تیم Unit 42 شرکت Palo Alto Networks از تکنیکی با عنوان Phantom Squatting  پرده برداشت که در آن مهاجمان از دامنه‌های اینترنتی خیالی تولیدشده توسط مدل‌های زبانی سواستفاده می‌کنند.

Unit 42  در آزمایش خود ۶۸۵ هزار و ۳۳۹ پرسش را درباره ۹۱۳ برند در حوزه‌هایی مانند فناوری، خدمات مالی، سلامت، تجارت الکترونیک و دولت به دو مدل زبانی ارائه کرد. مدل‌ها در مجموع ۲.۱ میلیون URL تولید کردند.

از این میان، ۸۰۹ هزار و ۴۵۵ URL به دامنه‌ها یا نقاط پایانی‌ای مربوط می‌شدند که در زمان بررسی ثبت نشده بودند. پس از حذف تکرارها و نرمال‌سازی، این مجموعه به حدود ۲۵۰ هزار دامنه خیالی و قابل ثبت رسید.

نگران‌کننده‌تر اینکه پژوهشگران در همان مجموعه ۱۳ هزار و ۲۲۹ URL مخرب را شناسایی کردند؛ یعنی مدل‌ها در بخشی از پاسخ‌های خود، آدرس‌هایی را پیشنهاد داده بودند که در زمان بررسی، زیرساخت مخرب واقعی داشتند.

دامنه‌ای که ۲۳ روز بعد توسط مهاجم ثبت شد

یکی از جالب‌ترین بخش‌های تحقیق Unit 42 به یک سرویس تجارت الکترونیکی متعلق به یک شرکت پستی ملی مربوط می‌شود. در ۸ مارس ۲۰۲۶، سیستم تحقیقاتی Unit 42 چندین URL خیالی مرتبط با این سرویس را شناسایی کرد. مدل‌ها این آدرس‌ها را در تنظیمات مختلف و حتی در حالتی که میزان خلاقیت مدل بسیار پایین بود، تولید می‌کردند.

۲۳ روز بعد، در ۳۱ مارس، یک مهاجم همان دامنه را ثبت کرد و یک صفحه فیشینگ را روی آن قرار داد.

بر اساس بررسی Unit 42، این زیرساخت برای سرقت اطلاعات کاربران از جمله اطلاعات کارت، جزئیات انتقال بانکی و اطلاعات هویتی طراحی شده بود. محققان همچنین در فایل‌های مربوط به کیت فیشینگ، شواهدی پیدا کردند که نشان می‌داد مهاجم از یک دستیار کدنویسی هوش مصنوعی برای توسعه این زیرساخت استفاده کرده است.

به بیان ساده، در این مورد هوش مصنوعی هم در سمت مدافع و هم در سمت مهاجم حضور داشت؛ مدل ابتدا یک دامنه خیالی را تولید کرد، پژوهشگران آن را شناسایی کردند و مهاجم نیز همان دامنه را در ادامه به زیرساخت فیشینگ تبدیل کرد.

چرا دامنه‌های خیالی برای هکرها جذاب‌اند؟

یکی از نقاط قوت این حمله، همان چیزی است که در نگاه اول ممکن است نقطه ضعف آن به نظر برسد: دامنه هنوز سابقه‌ای ندارد. یک دامنه تازه‌ثبت‌شده به طور معمول هنوز در فهرست‌های مسدودسازی، سامانه‌های اعتبارسنجی URL یا پایگاه‌های اطلاعات تهدید سابقه‌ای ندارد. مهاجم می‌تواند آن را ثبت کند، محتوای مخرب را روی آن قرار دهد و پیش از آنکه سامانه‌های امنیتی فرصت کافی برای شناسایی و طبقه‌بندی آن داشته باشند، قربانی را به سمتش هدایت کند.

Unit 42 می‌گوید در نمونه‌های واقعی بررسی‌شده، برخی دامنه‌های شناسایی‌شده تنها چند ساعت پس از ثبت، به محتوای مخرب مجهز شده‌اند. در چنین شرایطی، اعتبار دامنه نه از سابقه آن، بلکه از پاسخ یک دستیار هوش مصنوعی تأمین می‌شود؛ عاملی که می‌تواند اعتماد کاربر را به‌شدت افزایش دهد.

تفاوت HalluSquatting با فیشینگ سنتی چیست؟

در فیشینگ سنتی، مهاجم معمولا تلاش می‌کند کاربر را با یک ایمیل، پیامک، تبلیغ یا صفحه جعلی به سمت زیرساخت خود هدایت کند. با این حال در HalluSquatting، ممکن است کاربر خودش از هوش مصنوعی درباره یک نرم‌افزار یا منبع سؤال کند و همان دستیار، ناخواسته مسیر رسیدن به زیرساخت مهاجم را پیشنهاد دهد.به همین دلیل این حمله را می‌توان نوعی سواستفاده از اعتماد به هوش مصنوعی دانست.

در اینجا مهاجم اعتماد کاربر به یک برند را هدف قرار نمی‌دهد؛ بلکه اعتماد او به «پاسخ هوش مصنوعی» را به نقطه ضعف تبدیل می‌کند.

هدف بعدی؛ عامل‌های هوش مصنوعی

خطر HalluSquatting زمانی بیشتر می‌شود که به جای انسان، یک AI Agent تصمیم بگیرد.

یک کاربر انسانی پس از دریافت یک URL جعلی هنوز باید روی آن کلیک کند، فایل را دانلود کند یا اطلاعاتی وارد کند اما یک عامل هوش مصنوعی ممکن است بتواند این مراحل را خودش انجام دهد؛ برای مثال منبع را دریافت کند، آن را بررسی کند، دستوری را اجرا کند یا بخشی از یک فرایند نرم‌افزاری را پیش ببرد.

پژوهشگران هشدار داده‌اند که همین قابلیت می‌تواند حمله‌ای را که در حالت عادی به یک قربانی محدود می‌شود، به یک حمله گسترده و خودکار تبدیل کند؛ تا جایی که از این روش می‌توان برای ایجاد بات‌نت استفاده کرد.

 HalluSquatting  چقدر جدی است؟

اهمیت HalluSquatting فقط در یک آسیب‌پذیری مشخص خلاصه نمی‌شود. مسئله اصلی، یک ویژگی بنیادی مدل‌های زبانی است: مدل ممکن است چیزی را که وجود ندارد، با اطمینان بالا تولید کند.

تا زمانی که مدل‌های هوش مصنوعی بتوانند نام بسته‌ها، مخازن، URLها و منابع نرم‌افزاری را بدون راستی‌آزمایی قطعی تولید کنند، مهاجمان می‌توانند تلاش کنند همین خروجی‌ها را به زیرساخت واقعی حمله تبدیل کنند.

پژوهش Unit 42 نیز نشان می‌دهد که این خطر تنها یک سناریوی آزمایشگاهی نیست و نمونه‌هایی از ثبت و سواستفاده واقعی از دامنه‌های تولیدشده توسط مدل‌ها مشاهده شده است.

چگونه در برابر HalluSquatting از خودمان محافظت کنیم؟

مهم‌ترین راهکار، ساده اما بسیار مهم است: به خروجی هوش مصنوعی به‌عنوان منبع قطعی اعتماد نکنید.

کاربران و به‌ویژه توسعه‌دهندگان باید پیش از نصب هر کتابخانه، پکیج، مخزن یا ابزار پیشنهادی AI، نام و منبع آن را در پایگاه رسمی پروژه بررسی کنند.

در محیط‌های سازمانی نیز بهتر است:

·      منابع پیشنهادی AI پیش از دریافت یا اجرا اعتبارسنجی شوند؛

·      نصب خودکار پکیج‌ها و اجرای دستورات از سوی Agentها محدود شود؛

·      منابع نرم‌افزاری از مخازن معتبر و قابل اعتماد دریافت شوند؛

·      وابستگی‌های نرم‌افزاری و کدهای پیشنهادی AI در محیط ایزوله بررسی شوند؛

·      دسترسی Agentها به اینترنت و ترمینال بر اساس اصل حداقل دسترسی کنترل شود.

 وقتی «اشتباه» هوش مصنوعی به زیرساخت حمله تبدیل می‌شود

بررسی منابع عمومی و گزارش‌های امنیتی معتبر نشان می‌دهد تاکنون نمونه مستندی از اجرای حمله HalluSquatting یا Phantom Squatting علیه کاربران ایرانی منتشر نشده است؛ با این حال، ثبت واقعی دامنه‌های توهم‌زده‌شده توسط مهاجمان در دیگر کشورها نشان می‌دهد این تهدید دیگر تنها یک فرضیه آزمایشگاهی نیست.

HalluSquatting  نشان می‌دهد که خطاهای هوش مصنوعی همیشه در حد یک پاسخ اشتباه یا اطلاعات ساختگی باقی نمی‌مانند. وقتی مدل به اینترنت، مخازن نرم‌افزاری، ترمینال و ابزارهای اجرایی متصل می‌شود، یک نام جعلی می‌تواند از یک خطای متنی به یک منبع واقعی و مخرب تبدیل شود.

پژوهش‌های جدید درباره HalluSquatting و Phantom Squatting یک تغییر مهم در مدل تهدیدات سایبری را نشان می‌دهند: مهاجمان دیگر فقط تلاش نمی‌کنند هوش مصنوعی را فریب دهند؛ بلکه می‌توانند از خطاهای قابل پیش‌بینی خود مدل به‌عنوان بخشی از زیرساخت حمله استفاده کنند.

در چنین شرایطی، شاید مهم‌ترین سؤال درباره امنیت هوش مصنوعی دیگر این نباشد که «آیا مدل توهم می‌زند؟»؛ بلکه این است که اگر مهاجم بتواند آن توهم را پیش‌بینی و تصاحب کند، چه اتفاقی می‌افتد؟