Riepilogo Tecnico: Attenzione alle Botnet di Agenti

Definizione del Problema

La rapida adozione di applicazioni basate su LLM (Large Language Model) agentici ha introdotto un nuovo vettore di minaccia noto come promptware: input progettati per indurre comportamenti malevoli nel contesto di un LLM. Mentre la ricerca precedente ha dimostrato attacchi di prompt injection mirati (ad esempio, tramite email o inviti a calendario), questi richiedono che gli avversari abbiano un accesso diretto alla vittima o a un canale di comunicazione specifico.

Una lacuna critica rimane negli attacchi di promptware non mirati. Gli attuali metodi non mirati (ad esempio, pubblicare prompt avversari su siti web a basso traffico) mancano di scalabilità perché si affidano al fatto che l'applicazione LLM recuperi dati avvelenati da fonti oscure. Al contrario, posizionare prompt avversari su risorse ad alto traffico richiede solitamente il compromesso di server protetti, il che è difficile sotto modelli di minaccia deboli. Questo articolo affronta la domanda fondamentale: Gli attaccanti possono sfruttare le applicazioni LLM su larga scala senza canali diretti o il precedente compromesso di obiettivi di alto valore?

Gli autori sostengono che la tendenza intrinseca degli LLM a allucinare identificatori di risorse (ad esempio, nomi di repository inesistenti o slug di skill errati) crei una superficie di attacco scalabile. Sfruttando queste allucinazioni, gli avversari possono stabilire una "botnet" di dispositivi agentici compromessi.

Metodologia: Adversarial HalluSquatting

Il documento introduce l'Adversarial HalluSquatting, una tecnica in cui gli attaccanti registrano preventivamente le risorse corrispondenti alle allucinazioni più probabili di un LLM. Il flusso dell'attacco prevede sei fasi:

1. Preparazione: L'attaccante identifica le risorse di tendenza (ad esempio, popolari repository GitHub o skill) e interroga il modello target (o il modello fondazionale) con prompt progettati per elicitare il recupero di risorse (ad esempio, "clona il repository X").
2. Analisi della Distribuzione: L'attaccante analizza l'output dell'LLM per determinare la distribuzione di probabilità degli identificatori allucinati (ad esempio, nomi di proprietari errati per un repository o slug di skill malformati).
3. Squatting: L'attaccante registra gli identificatori allucinati ad alta probabilità su piattaforme pubbliche (ad esempio, GitHub, ClawHub) prima che utenti o agenti legittimi possano farlo.
4. Trigger: Un utente istruisce un'applicazione agentica a recuperare la risorsa originale (ad esempio, "clona librepods").
5. Allucinazione e Recupero: L'LLM allucina un identificatore che corrisponde alla risorsa registrata dall'attaccante. Il framework agentico recupera il contenuto controllato dall'attaccante invece della risorsa legittima.
6. Esecuzione del Payload: Il contenuto recuperato contiene prompt avversari incorporati che istruiscono l'agente a eseguire azioni malevole, come l'installazione di una reverse shell, l'esfiltrazione di dati o l'esecuzione di codice arbitrario.

L'attacco si basa sulla trasferibilità delle allucinazioni tra diversi modelli fondazionali e livelli applicativi, consentendo a un singolo candidato allo squatting di compromettere molteplereplici sistemi.

Contributi Chiave

1. Promptware non mirato e scalabile per Botnet: A differenza degli attacchi scalabili precedenti che si basavano su prompt autoreplicanti in catene di email mirate, questo lavoro dimostra un metodo per infettare applicazioni agentiche su larga scala senza canali di iniezione diretta. Mirando a risorse popolari, gli attaccanti possono compromettere un gran numero di dispositivi per formare una botnet.
2. Vulnerabilità Universali e Trasferibili: Lo studio dimostra che i pattern di allucinazione sono coerenti tra diverse famiglie di LLM (Gemini, GPT, Claude) e si trasferiscono dal livello del modello fondazionale al livello applicativo (assistenti di codifica, strumenti CLI, assistenti personali).
3. Armamento delle Allucinazioni: Il documento si distingue dai precedenti attacchi alla supply-chain (che si concentrano su pacchetti fantasma generati durante la scrittura del codice) poiché prende di mira il tempo di inferenza dell'applicazione LLM stessa. L'attacco sfrutta la fiducia dell'applicazione nelle risorse esterne recuperate.

Risultati Sperimentali

Gli autori hanno valutato l'attacco contro una vasta gamma di applicazioni e piattaforme agentiche.

Repository Squatting (Assistenti di Codifica)

• Tassi di Allucinazione: I modelli fondazionali hanno allucinato i proprietari dei repository per il 92,4% dei repository recenti e di tendenza (creati nel 2025), rispetto solo allo 0,9% per i repository più vecchi. In alcuni casi, il tasso di allucinazione ha raggiunto il 100%.
• Pattern: Un pattern dominante è la "allucinazione autoreferenziale", in cui il modello utilizza il nome del repository come proprietario (ad esempio, librepods/librepods). Questo pattern è registrabile e appare nel 27% di tutte le esecuzioni tra i modelli.
• Successo End-to-End: L'attacco è stato testato contro sei assistenti di codifica (Cursor, Cursor CLI, Gemini CLI, Windsurf, Copilot Chat, Cline).
  • Successo dello Squatting: Tutti i sei assistenti hanno recuperato con successo il repository controllato dall'attaccante.
  • Esecuzione del Payload: L'esecuzione di codice remoto (RCE) o l'invocazione di strumenti è stata raggiunta nel 20% - 65% dei tentativi, a seconda dell'assistente e del modello. Ad esempio, Windsurf ha raggiunto un tasso di RCE del 65%, mentre OpenClaw ha raggiunto il 100% in configurazioni specifiche.

Skill Squatting (Assistenti Personali)

• Classi di Vulnerabilità: Sono stati identificati due modi principali di fallimento nell'installazione delle skill:
  • V1 (Rimozione Parole): L'LLM rimuove parole chiave (ad esempio, "skill") dalla richiesta, risolvendo skill-vetter nello slug vetter.
  • V2 (Divergenza Display/Slug): L'LLM non riesce a mappare un nome di visualizzazione leggibile dall'uomo al corretto slug tecnico, specialmente per skill documentate in lingue non inglesi.
• Tassi di Allucinazione: In 140 prove su OpenClaw, il 90,7% delle richieste di installazione ha risolto verso uno slug squattabile.
• Successo End-to-End: Nei test contro OpenClaw, ZeroClaw e NanoClaw, una singola skill squattata ha ottenuto il 100% di successo nell'esfiltrazione del contesto e l'84–100% di successo nell'esecuzione di una reverse shell (handover del terminale), a seconda del modello specifico e delle policy di sicurezza.

Significato e Rivendicazioni

Il documento afferma che l'Adversarial HalluSquatting rappresenta un cambiamento fondamentale nel panorama delle minacce per l'IA agentica. La sua importanza risiede in:

• Scalabilità: Permette attacchi non mirati che possono compromettere migliare di dispositivi simultaneamente sfruttando la prevedibilità degli errori degli LLM, piuttosto che richiedere un targeting individuale.
• Formazione di Botnet: Il vettore di attacco consente agli avversari di trasformare applicazioni agentiche distribuite in una botnet capace di attacchi DDoS su larga scala, mining di criptovalute o deployment di ransomware.
• Universalità: La vulnerabilità non è isolata a un singolo modello o applicazione, ma è un problema sistemico che riguarda l'interazione tra i framework agentici e i registri delle risorse esterne.

Gli autori concludono che le attuali strategie di mitigazione sono insufficienti e che la comunità deve affrontare il confine di fiducia tra le applicazioni LLM e le risorse esterne. Sottolineano che, sebbene i loro payload fossero innocui per ragioni etiche, le meccaniche dell'attacco sono pienamente funzionanti e rappresentano una minaccia realistica ad alto impatto.

Strategie di Mitigazione Proposte

Il documento suggerisce mitigazioni a due livelli:

1. Lato Applicazione: Imporre un workflow in cui uno strumento di ricerca debba essere invocato prima di qualsiasi operazione di recupero di una risorsa. Ciò riduce significativamente i tassi di allucinazione (ad esempio, dal ~90% a <10% in alcuni casi).
2. Lato Piattaforma: Implementare vincoli di registrazione più severi, come l'unicità globale dei nomi (eliminando i namespace) o la registrazione preventiva dei nomi di risorse probabilmente allucinati per reindirizzarli verso fonti legittime. Inoltre, le piattaforme dovrebbero scansionare i contenuti registrati alla ricerca di pattern di prompt injection.