AIの「もっともらしい嘘」を悪用してボットネットを構築、新たな攻撃手法「HalluSquatting」が判明

要点

• AIコードアシスタントがでっち上げる実在しないパッケージ名を先回りして登録し、マルウェアをインストールさせる新手法「HalluSquatting」が発表された。

• この攻撃は、AIが嘘の情報を出力する「ハルシネーション」と、外部のデータ経由でAIを乗っ取る「間接的プロンプトインジェクション」を組み合わせている。

• 実験ではリポジトリの要求で最大85%、スキルのインストールで100%という高い確率で、AIが攻撃者の用意した偽の名前を呼び出すことが実証された。

• 従来のボットネット構築とは異なり、パスワードの悪用やネットワーク脆弱性の突破を必要とせず、多様なOSのマシンを標的にできる。

• AIコードアシスタントが実在しない情報をそれらしく出力する弱点を突き、ユーザーの端末にボットネット（サイバー攻撃者が遠隔操作する乗っ取られた端末のネットワーク）を構築させる新たな攻撃手法が明らかになった。テルアビブ大学のAya Spira氏らの研究チームは、この手法を「HalluSquatting（ハルスクワッティング）」と名付け、2026年7月8日付でその詳細を公表した。この手法は、AIが信頼性の高い嘘をつく性質を巧みに利用し、ユーザーの介入なしに悪意あるコードを実行させるものである。

• 研究チームによると、AIコードアシスタントには、ユーザーから要求されたツールやプロジェクトが見つからない場合、実在しそうな偽の名前をでっち上げて提示する傾向がある。HalluSquattingは、この挙動を突いて攻撃を仕掛ける。AIアシスタントが外部のリソースを取得し、人間による十分な確認を経ずにコマンドを実行できる環境であれば、どのようなユーザーでもこの攻撃の標的になり得るという。

• この攻撃は、AIの2つの特性を組み合わせることで成立する。1つ目は、AIがもっともらしい嘘を出力する現象である「ハルシネーション」だ。2つ目は、悪意ある命令を読み込ませてAIの制御を奪う「プロンプトインジェクション」である。本手法では、ユーザー自身が入力する指示ではなく、AIが外部から取得したコンテンツの中に罠となる命令を忍ばせる「間接的」なプロンプトインジェクションが用いられる。

• 具体的な攻撃プロセスは、以下の4つのステップで進行する。

• まず、攻撃者はトレンドになっているリポジトリ（プログラムなどのソースコードを保存・管理する場所）やプラグインなどのリソースをターゲットに設定する。トレンドになっている新しいリソースはAIの学習データに含まれていないため、AIは名前を推測しようとしてハルシネーションを起こしやすくなる。

• 次に、攻撃者はAIに対してそのターゲットを繰り返し取得させ、AIが最も頻繁にでっち上げる偽のプロジェクト名を特定する。

• その上で、攻撃者は特定した偽の名前をGitHubやプラグインの公開ストアで実際に登録し、その内部にAIを乗っ取るための命令を仕込んでおく。

• 最後に、一般のユーザーがAIアシスタントに該当の人気リソースを取得するよう指示するのを待ち受ける。ユーザーのAIアシスタントは、攻撃者の予測通りに同じ偽の名前をでっち上げてダウンロードしてしまう。取得されたファイルに仕込まれていた命令がAIに読み込まれると、AIは自身のコマンド実行ツール（ターミナル）を使用して、攻撃者が意図したボット（遠隔操作用のマルウェア）のインストールなどを実行する。

• この攻撃を実用的なものにしているのは、AIがでっち上げる名前がランダムではなく、高い一貫性を持っている点である。研究チームの実験では、質問の表現を変えたり、異なる開発元のAIモデルを用いたりした場合でも、リポジトリの要求において最大85%、スキルのインストールにおいて100%の確率で同じ偽の名前にアクセスしたという。

• 実験は、Cursor、Windsurf、GitHub Copilot、Cline、Google's Gemini CLI、およびOpenClawファミリーなどの主要なAIアシスタントツールに対して行われ、いずれも攻撃者のコードを実行させることに成功した。なお、実験で用いられたペイロード（マルウェアなどの攻撃用コード本体）は、実害のないテスト用のプレースホルダーであり、実際のマルウェアは使用されていない。

• 今回の発表を行ったテルアビブ大学のBen Nassi氏が率いるグループ（Aya Spira氏らのほか、テクニオンのStav Cohen氏、IntuitのRon Bitton氏が共同研究者として参加）は、過去にも自己拡散型のAIメールワームや、GoogleのGeminiを乗っ取るカレンダー招待機能の脆弱性を発表してきた実績がある。チームは本手法を公表するにあたり、事前に影響を受けるベンダー、モデル開発企業、マーケットプレイスの運営者に通知を行い、悪用を防ぐため具体的な再現手順の公開は控えたと説明している。

• このHalluSquattingが「新しい種類のボットネット」とされるのは、従来の構築手法と大きく異なるためである。従来のボットネットは、単純なパスワードの推測や、特定の脆弱性を突いてデバイスからデバイスへとワーム（ネットワークを通じて自己増殖するマルウェア）を自己拡散させる手法が一般的であり、Miraiがネットワークカメラやルーターを乗っ取ったように、標的となるOSやデバイスの種類が限定されがちだった。

• しかし、今回の手法ではパスワード破りやネットワークへの侵入行為は不要である。さらに、AIが読み取るテキストデータを介して攻撃コードが送り込まれるため、ファイアウォールなどの防御壁で検知することが極めて困難とされる。AIアシスタントが動く環境であれば、特定のOSに依存せず、あらゆるコンピューターを同一のボットネットに組み込むことが可能になる。AIはマルウェアそのものではなく、それを届ける「配送車」の役割を果たしているに過ぎない。

• こうした、AIがでっち上げた偽のパッケージ名を攻撃者が先回りして登録する手法は、以前から「スロップスクワッティング」と呼ばれていた。2026年1月には、Aikido SecurityのCharlie Eriksen氏が、AIの生成コードによってすでに237個のプロジェクトに拡散していた実在しないnpmパッケージ「react-codeshift」を発見し、悪用される前に自ら登録して被害を防いだ事例もある。このでっち上げられた名前を登録する手法は、パッケージからWebドメイン（インターネット上の住所）へと応用範囲を広げており、Palo Alto NetworksのUnit 42なども同様の脅威を報告している。