Resumen Técnico: Cuidado con las Botnets de Agentes

Declaración del Problema

La rápida adopción de aplicaciones de modelos de lenguaje de gran tamaño (LLM) agénticos ha introducido un nuevo vector de amenaza conocido como promptware: entradas diseñadas para inducir un comportamiento malicioso dentro del contexto de un LLM. Si bien investigaciones previas han demostrado ataques de inyección de prompts dirigidos (por ejemplo, a través de correos electrónicos o invitaciones de calendario), estos requieren que los adversarios tengan acceso directo a la víctima o a un canal de comunicación específico.

Una brecha crítica persiste en los ataques de promptware no dirigidos. Los métodos actuales no dirigidos (por ejemplo, publicar prompts adversarios en sitios web de bajo tráfico) carecen de escalabilidad porque dependen de que la aplicación de LLM recupere datos envenenados de fuentes oscuras. Por el contrario, colocar prompts adversarios en recursos de alto tráfico suele requerir comprometer servidores asegurados, lo cual es difícil bajo modelos de amenaza débiles. Este artículo aborda la pregunta fundamental: ¿Pueden los atacantes explotar aplicaciones de LLM a escala sin canales directos o el compromiso previo de objetivos de alto valor?

Los autores postulan que la tendencia inherente de los LLM a alucinar identificadores de recursos (por ejemplo, nombres de repositorios o slugs de habilidades inexistentes) crea una superficie de ataque escalable. Al explotar estas alucinaciones, los adversarios pueden establecer una "botnet" de dispositivos agénticos comprometidos.

Metodología: Adversarial HalluSquatting

El artículo introduce el Adversarial HalluSquatting, una técnica donde los atacantes registran preventivamente recursos correspondientes a las alucinaciones más probables de un LLM. El flujo de ataque involucra seis pasos:

1. Preparación: El atacante identifica recursos de tendencia (por ejemplo, repositorios populares de GitHub o habilidades) y sondea el LLM objetivo (o el modelo fundacional) con prompts diseñados para provocar la recuperación de recursos (por ejemplo, "clonar repositorio X").
2. Análisis de Distribución: El atacante analiza la salida del LLM para determinar la distribución de probabilidad de los identificadores alucinados (por ejemplo, nombres de propietarios incorrectos para un repositorio o slugs de habilidades malformados).
3. Squatting (Ocupación): El atacante registra los identificadores alucinados de alta probabilidad en plataformas públicas (por ejemplo, GitHub, ClawHub) antes de que los usuarios o agentes legítimos puedan hacerlo.
4. Activación (Trigger): Un usuario solicita a una aplicación agéntica que recupere el recurso original (por ejemplo, "clonar librepods").
5. Alucinación y Recuperación: El LLM alucina un identificador que coincide con el recurso registrado por el atacante. El marco de trabajo agéntico recupera el contenido controlado por el atacante en lugar del recurso legítimo.
6. Ejecución de Payload: El contenido recuperado contiene prompts adversarios incrustados que instruyen al agente para ejecutar acciones maliciosas, tales como instalar una shell inversa, exfiltrar datos o ejecutar código arbitrario.

El ataque depende de la transferibilidad de las alucinaciones a través de diferentes familias de modelos fundacionales y capas de aplicación, permitiendo que un solo candidato de squatting comprometa múltiples sistemas.

Contribuciones Clave

1. Promptware No Dirigido y Escalable para Botnets: A diferencia de los ataques escalables previos que dependían de prompts autorreplicantes en cadenas de correos electrónicos dirigidos, este trabajo demuestra un método para infectar aplicaciones agénticas a escala sin canales de inyección directa. Al atacar recursos populares, los atacantes pueden comprometer un gran número de dispositivos para formar una botnet.
2. Vulnerabilidades Universales y Transferibles: El estudio demuestra que los patrones de alucinación son consistentes entre diferentes familias de LLM (Gemini, GPT, Claude) y se transfieren de la capa del modelo fundacional a la capa de aplicación (asistentes de codificación, herramientas de CLI, asistentes personales).
3. Armamento de Alucinaciones: El artículo se distingue de los ataques previos a la cadena de suministro (que se centran en paquetes fantasma generados durante la escritura de código) al atacar el tiempo de inferencia de la propia aplicación de LLM. El ataque explota la confianza de la aplicación en los recursos externos recuperados.

Resultados Experimentales

Los autores evaluaron el ataque contra una amplia gama de aplicaciones y plataformas agénticas.

Repositorio Squatting (Asistentes de Codificación)

• Tasas de Alucinación: Los modelos fundacionales alucinaron propietarios de repositorios para el 92.4% de los repositorios recientes (creados en 2025), en comparación con solo el 0.9% para repositorios antiguos. En algunos casos, la tasa de alucinación alcanzó el 100%.
• Patrones: Un patrón dominante fue la "alucinación autorreferencial", donde el modelo utiliza el nombre del repositorio como el propietario (por ejemplo, librepods/librepods). Este patrón es registrable y apareció en el 27% de todas las ejecuciones entre los modelos.
• Éxito de Extremo a Extremo: El ataque fue probado contra seis asistentes de codificación (Cursor, Cursor CLI, Gemini CLI, Windsurf, Copilot Chat, Cline).
  • Éxito de Squatting: Los seis asistentes recuperaron exitosamente el repositorio controlado por el atacante.
  • Ejecución de Payload: Se logró la Ejecución de Código Remoto (RCE) o la Invocación de Herramientas en el 20% al 65% de los ensayos, dependiendo del asistente y el modelo. Por ejemplo, Windsurf logró una tasa de RCE del 65%, mientras que OpenClaw logró el 100% en configuraciones específicas.

Skill Squatting (Asistentes Personales)

• Clases de Vulnerabilidad: Se identificaron dos modos principales de fallo en la instalación de habilidades:
  • V1 (Eliminación de Palabras): El LLM elimina palabras clave (por ejemplo, "skill") de la solicitud, resolviendo skill-vetter al slug vetter.
  • V2 (Divergencia de Display/Slug): El LLM falla al mapear un nombre de visualización legible por humanos al slug técnico correcto, especialmente para habilidades documentadas en idiomas distintos al inglés.
• Tasas de Alucinación: En 140 ensayos en OpenClaw, el 90.7% de las solicitudes de instalación resolvieron a un slug susceptible de squatting.
• Éxito de Extremo a Extremo: En pruebas contra OpenClaw, ZeroClaw y NanoClaw, un solo skill squatted logró un 100% de éxito en la exfiltración de contexto y un 84–100% de éxito en la ejecución de shell inversa (entrega de terminal), dependiendo del modelo específico y las políticas de seguridad.

Significación y Reivindicaciones

El artículo afirma que el Adversarial HalluSquatting representa un cambio fundamental en el panorama de amenazas para la IA agéntica. Su importancia radica en:

• Escalabilidad: Permite ataques no dirigidos que pueden comprometer miles de dispositivos simultáneamente al aprovechar la predictibilidad de los errores de los LLM, en lugar de requerir un direccionamiento individual.
• Formación de Botnets: El vector de ataque permite a los adversarios convertir aplicaciones agénticas distribuidas en una botnet capaz de realizar ataques DDoS a gran escala, minería de criptomonedas o despliegue de ransomware.
• Universalidad: La vulnerabilidad no es aislada de un solo modelo o aplicación, sino que es un problema sistémico que afecta la interacción entre los marcos de trabajo agénticos y los registros de recursos externos.

Los autores concluyen que las estrategias de mitigación actuales son insuficientes y que la comunidad debe abordar la frontera de confianza entre las aplicaciones de LLM y los recursos externos. Enfatizan que, aunque sus payloads fueron benignos por razones éticas, la mecánica del ataque es plenamente funcional y representa una amenaza realista de alto impacto.

Estrategias de Mitigación Propuestas

El artículo sugiere mitigaciones en dos niveles:

1. Lado de la Aplicación: Imponer un flujo de trabajo donde una herramienta de búsqueda deba ser invocada antes de cualquier operación de recuperación de recursos. Esto reduce significativamente las tasas de alucinación (por ejemplo, de ~90% a <10% en algunos casos).
2. Lado de la Plataforma: Implementar restricciones de registro más estrictas, como la unicidad global de nombres (eliminando namespaces) o el registro preventivo de nombres de recursos que probablemente serán alucinados para redirigirlos hacia fuentes legítimas. Además, las plataformas deberían escanear el contenido registrado en busca de patrones de inyección de prompts.