Hallusquatting, il nuovo attacco che trasforma le allucinazioni dell’AI in una porta d’ingresso per gli hacker
L’intelligenza artificiale generativa sta entrando nella fase più delicata della sua evoluzione: quella in cui smette di essere un semplice strumento di risposta e diventa un agente operativo capace di navigare, scrivere codice, installare componenti software, accedere a documenti e prendere decisioni con un certo grado di autonomia. Proprio questa trasformazione, celebrata dalla Silicon Valley come il passaggio dagli assistenti digitali agli “AI agent”, sta aprendo una nuova superficie di attacco informatico che fino a pochi mesi fa apparteneva più alla fantascienza che alla cybersecurity. Una ricerca condotta da studiosi della Tel Aviv University, del Technion e di Intuit ha introdotto il concetto di “Adversarial HalluSquatting”, una tecnica che sfrutta le allucinazioni dei modelli linguistici per trasformarle in un potenziale vettore di compromissione.
Il principio è tanto semplice quanto inquietante. I modelli di intelligenza artificiale, quando non dispongono di informazioni sufficienti, tendono a generare contenuti plausibili ma inesistenti: nomi di librerie software, repository GitHub, documentazioni tecniche, collegamenti web o strumenti che in realtà non esistono. Per anni questo fenomeno è stato considerato soprattutto un problema di affidabilità, un difetto cognitivo delle reti neurali che produce risposte sbagliate con una sicurezza quasi teatrale. La nuova ricerca dimostra invece che questa caratteristica può diventare una vulnerabilità sfruttabile.
L’attacco HalluSquatting prende ispirazione dal più conosciuto typosquatting, una tecnica utilizzata dai criminali informatici che registrano domini o pacchetti software con nomi simili a quelli legittimi, contando sugli errori di digitazione degli utenti. La differenza fondamentale è che questa volta il bersaglio non è l’errore umano, ma l’errore della macchina. Gli aggressori cercano di prevedere quali risorse inesistenti un modello AI potrebbe inventare, registrano quei nomi e inseriscono al loro interno istruzioni malevole. Se un agente AI successivamente tenta di recuperare quella risorsa immaginaria, può entrare in contatto con contenuti controllati dall’attaccante e considerarli affidabili.
La ricerca, descritta nel paper “Beware of Agentic Botnets: Scalable Untargeted Promptware Attacks via Universal and Transferable Adversarial HalluSquatting”, evidenzia un cambiamento strutturale nel modo in cui dobbiamo pensare alla sicurezza dell’intelligenza artificiale. Il problema non è più soltanto impedire che un utente inserisca un prompt dannoso dentro un chatbot. La nuova frontiera è impedire che un agente autonomo venga manipolato attraverso informazioni esterne apparentemente legittime mentre svolge attività operative.
Questo scenario diventa particolarmente critico nel mondo dello sviluppo software. Gli assistenti di coding basati sull’AI stanno rapidamente assumendo ruoli sempre più vicini a quelli di un collaboratore tecnico: analizzano repository, suggeriscono modifiche, generano codice, installano dipendenze e interagiscono con ambienti di sviluppo. Se un agente può essere convinto che un determinato pacchetto, repository o “skill” sia autentico quando invece è stato creato da un aggressore, il confine tra assistenza e compromissione diventa estremamente sottile.
Durante i test, i ricercatori hanno osservato percentuali elevate di generazione di risorse inesistenti da parte dei modelli. Nei casi di clonazione di repository software le allucinazioni hanno raggiunto valori fino all’85%, mentre negli scenari di installazione di skill hanno raggiunto il 100%. La tecnica è stata valutata su diversi strumenti di sviluppo basati su AI, inclusi Cursor, GitHub Copilot, Gemini CLI e OpenClaw, mostrando che il fenomeno non è confinato a un singolo ecosistema tecnologico.
La conseguenza più preoccupante riguarda la possibilità di creare botnet alimentate dall’intelligenza artificiale. Tradizionalmente una botnet richiede l’infezione diretta di dispositivi attraverso malware, vulnerabilità software o tecniche di ingegneria sociale. Con gli agenti AI il modello di attacco potrebbe cambiare: non necessariamente si compromette direttamente il computer, ma si manipola il processo decisionale dell’agente che opera sul computer. È una differenza filosofica prima ancora che tecnica, perché l’attacco non colpisce una macchina, ma la sua capacità di interpretare il mondo.
La comunità cybersecurity sta iniziando a comprendere che gli agenti autonomi rappresentano una nuova categoria di infrastruttura critica. Ogni agente AI diventa infatti un nodo decisionale che collega modelli linguistici, dati aziendali, applicazioni interne e sistemi esterni. In un ambiente enterprise, dove un agente potrebbe avere accesso a codice sorgente, informazioni finanziarie o sistemi produttivi, una semplice allucinazione potrebbe trasformarsi da errore statistico a incidente operativo.
La risposta non può essere soltanto migliorare la precisione dei modelli. La storia della tecnologia insegna che ogni nuova capacità crea nuove forme di abuso: il web generò il phishing, il cloud introdusse nuove superfici di esposizione, gli smartphone crearono ecosistemi di sorveglianza e malware mobile. L’intelligenza artificiale agentica rischia di introdurre un problema ancora più complesso perché combina velocità, autonomia e capacità di interazione.
Le aziende che stanno implementando agenti AI dovranno quindi adottare una filosofia di sicurezza diversa da quella utilizzata per i software tradizionali. La verifica delle fonti, il controllo delle dipendenze, la validazione degli strumenti richiamati dagli agenti e i meccanismi di autorizzazione umana nei passaggi critici diventeranno elementi fondamentali. L’idea romantica dell’agente digitale che “lavora al posto nostro” deve confrontarsi con una realtà meno elegante: un collaboratore artificiale senza adeguati controlli può diventare anche un collaboratore inconsapevole degli attaccanti.
L’ironia della situazione è evidente. Per anni abbiamo criticato le intelligenze artificiali perché inventavano informazioni inesistenti; ora scopriamo che proprio quelle invenzioni potrebbero essere utilizzate contro di noi. La Silicon Valley ha venduto l’idea dell’AI come una nuova forma di intelligenza, quasi un collega digitale instancabile. La cybersecurity ci ricorda invece una regola antica: ogni sistema abbastanza potente da automatizzare decisioni importanti diventa inevitabilmente anche un obiettivo. L’era degli agenti AI non sarà determinata soltanto da quanto saranno intelligenti, ma da quanto saranno difficili da ingannare.