La seguridad en el ámbito de la inteligencia artificial enfrenta un desafío sin precedentes debido a una nueva técnica denominada HalluSquatting. Este método, que explota la naturaleza intrínseca de los modelos de lenguaje de gran tamaño (LLM), permite a los atacantes orquestar botnets a gran escala, realizar ataques de denegación de servicio distribuidos y comprometer dispositivos de forma masiva. A diferencia de las inyecciones de comandos tradicionales, que requerían una interacción directa y personalizada con cada víctima, esta nueva variante automatiza el proceso, marcando un punto de inflexión en la ciberseguridad moderna.

El problema fundamental radica en la incapacidad de los modelos de lenguaje para diferenciar entre instrucciones legítimas y comandos maliciosos ocultos en correos electrónicos o código fuente. Históricamente, los ataques de inyección de comandos se clasificaban como de tipo "push", donde el atacante debía enviar el contenido malicioso a cada usuario individualmente, limitando considerablemente el alcance del impacto. Por otro lado, los ataques de tipo "pull", donde el modelo busca activamente información en sitios web, carecían de la capacidad de atraer a suficientes usuarios para ser considerados una amenaza masiva. HalluSquatting rompe estas barreras al aprovechar la tendencia de los modelos a alucinar identificadores de recursos.

La técnica se basa en la "alucinación adversaria", un fenómeno donde los asistentes de programación y agentes de IA, al realizar sus tareas cotidianas, intentan acceder a bibliotecas o recursos que no existen. Los investigadores han identificado que herramientas populares como GitHub Copilot, Cursor, Windsurf, Gemini CLI, Cline y diversas variantes de "Claw" (OpenClaw, ZeroClaw, NanoClaw) son vulnerables a este vector de ataque. Estos asistentes, que a menudo operan con privilegios elevados en la línea de comandos, son engañados para ejecutar código proveniente de fuentes externas no verificadas.

El funcionamiento de HalluSquatting es ingenioso y devastadoramente eficaz. Los atacantes predicen qué identificadores de recursos tienen más probabilidades de ser alucinados por un modelo de IA. Una vez identificados, registran estos nombres en repositorios públicos y los cargan con instrucciones maliciosas, como la instalación de shells inversas o software dañino. Cuando un asistente de IA intenta recuperar un recurso inexistente y "alucina" uno de estos nombres, el sistema descarga y ejecuta automáticamente el código malicioso, infectando el dispositivo sin necesidad de que el atacante interactúe con el usuario final.

Este hallazgo pone en evidencia las limitaciones de los actuales sistemas de defensa. Los desarrolladores de motores de IA han intentado implementar barreras de seguridad, pero estas medidas suelen ser paliativas y no abordan la raíz del problema: la falta de una frontera segura entre fuentes confiables y externas. La capacidad de infectar dispositivos de manera indiscriminada y a gran escala representa una amenaza crítica para la integridad de los entornos de desarrollo y la infraestructura digital global, obligando a repensar cómo los agentes autónomos interactúan con el ecosistema de software de código abierto.