Immagina di chiedere al tuo agente AI di clonare una libreria popolare. Lui ti risponde con un nome che sembra giusto, la scarica e la installa da solo. Peccato che quella libreria non esistesse fino a ieri: l'ha inventata l'AI, e un attaccante l'aveva già registrata con dentro codice malevolo. Benvenuto in HalluSquatting, il nuovo attacco che trasforma le allucinazioni degli agenti AI in una porta d'ingresso per gli hacker.
Uso agenti di coding tutti i giorni per lavoro, e questa è una di quelle notizie che ti fanno rileggere due volte cosa hai lasciato girare in autonomia sul tuo terminale. In questo articolo vediamo cos'è HalluSquatting, perché funziona così bene e — soprattutto — la checklist pratica per non finire a far parte di una botnet senza accorgertene.
Cos'è HalluSquatting e perché dovrebbe preoccuparti
Il nome nasce dalla fusione di hallucination (allucinazione) e squatting, e richiama il più noto typosquatting. La ricerca arriva da un gruppo della Tel Aviv University insieme al Technion e a Intuit, lo stesso team che in passato aveva costruito un worm AI che si diffondeva via email.
La differenza rispetto al typosquatting classico è sottile ma decisiva: qui il bersaglio non è l'errore di digitazione dell'umano, ma l'errore della macchina. Gli agenti AI, quando incontrano un termine che non conoscono, non ammettono "non lo so": si inventano una risposta plausibile. E lo fanno in modo prevedibile, di solito costruendo URL nel formato proprietario/repository o nometool/nometool su GitHub.
L'attacco si muove in tre mosse:
- Previsione: l'attaccante interroga i modelli per scoprire quali nomi finti tendono a inventare quando cercano repository o skill recenti.
- Registrazione: registra in anticipo la risorsa più probabile (un repo, un pacchetto, una skill) e la riempie di istruzioni malevole.
- Attesa: quando un utente qualsiasi chiede al proprio agente di svolgere un compito di routine, l'agente allucina il nome, recupera la trappola e la esegue.
Il risultato tipico è una reverse shell: il tuo computer apre una riga di comando controllata da remoto. Da lì l'attaccante può rubare dati e password, installare software, avviare cryptominer o arruolare il tuo agente per altre malefatte.
Quanto spesso l'AI "abbocca"
Qui arriva il dato che fa impressione. I ricercatori hanno misurato che un LLM allucina la posizione di un repository recente fino all'85% delle volte, percentuale che tocca il 100% per alcune skill agentiche di tendenza. Sui repository datati 2025 il tasso medio di allucinazione registrato è stato del 92,4%.
Tradotto: non è un caso limite raro, è il comportamento normale del modello. Una singola risorsa "HalluSquattata" ha il potenziale di adescare decine di migliaia di bot in pochissimo tempo. Per questo i ricercatori parlano di agentic botnet, una nuova categoria di rete di dispositivi compromessi.
Perché le botnet AI sono peggio di quelle classiche
Le botnet tradizionali, tipo Mirai, si diffondono sfruttando password deboli, vulnerabilità di memoria o malware che si propaga da macchina a macchina. Serve lavoro e ci sono difese consolidate.
Le agentic botnet cambiano le regole. Si diffondono tramite prompt injection indiretta: l'istruzione malevola non la scrivi tu, arriva "nascosta" dentro un contenuto che l'agente recupera da solo. Questo significa che:
- Bypassano i firewall tradizionali, perché l'infezione viaggia dentro richieste legittime generate dall'agente.
- Colpiscono qualsiasi dispositivo dove gira un agente, non solo server con configurazioni deboli.
- Non richiedono exploit: niente zero-day, niente credenziali rubate. Basta che l'agente si fidi di ciò che ha scaricato.
Gli strumenti dimostrati come vulnerabili includono Cursor, GitHub Copilot, Gemini CLI, Windsurf e Cline, proprio perché possono clonare progetti, installare pacchetti e usare terminali integrati con privilegi rilevanti. Nei test i payload erano innocui, ma il percorso è identico a quello di un attacco reale.
Il caso della skill finta arrivata a 26.000 agenti
HalluSquatting non è un caso isolato: è il sintomo di un problema strutturale più grande. Poche settimane prima, la società di sicurezza AIR ha fatto un esperimento che vale la pena raccontare, perché mostra lo stesso buco da un'altra angolazione.
Hanno costruito una skill finta chiamata brand-landingpage, che prometteva di creare landing page usando lo strumento di design Stitch di Google, con un messaggio pensato per utenti non tecnici: nessuna competenza di codice richiesta. Poi l'hanno fatta approvare in un marketplace open source con circa 36.000 stelle e l'hanno promossa con un'inserzione su Instagram.
Il risultato dichiarato: la skill sarebbe arrivata su circa 26.000 agenti, alcuni su account aziendali. E qui la parte inquietante: tutti gli scanner di sicurezza testati l'hanno marcata come sicura, compresi quelli di Cisco, NVIDIA e dei principali registri di skill.
Il trucco: lo scanner vede una foto, il payload è vivo
Come ci sono riusciti? La skill in sé era pulita. Non conteneva codice malevolo: diceva solo all'agente di installare un "Stitch SDK" seguendo la documentazione a un link esterno controllato dagli autori. All'inizio quel link puntava alla documentazione reale, così gli scanner vedevano un pacchetto pulito verso una pagina plausibile e davano il via libera.
Una volta che la skill era diffusa, hanno riscritto la pagina dietro quel link, sostituendola con istruzioni per scaricare ed eseguire uno script. Il problema è puramente strutturale: la scansione avviene una volta sola, ma la pagina a cui una skill rimanda può essere riscritta in qualsiasi momento dopo.
Va detto per onestà: i numeri (26.000 agenti, gli account aziendali) arrivano solo da AIR, un'azienda che sta lanciando un proprio marketplace gestito e ha quindi interesse a far pesare il risultato. Vanno letti con scetticismo. Ma il metodo regge: gli scanner citati giudicano davvero solo il pacchetto caricato, e il punto cieco sui link esterni è reale e già dimostrato in modo indipendente da Trail of Bits qualche settimana prima. La stessa documentazione di Anthropic avverte da tempo che le skill che recuperano URL esterni sono rischiose proprio per questo motivo.
Come difenderti: la checklist pratica
La buona notizia è che non serve smettere di usare gli agenti AI. Serve usarli come useresti qualsiasi altra dipendenza software: con diffidenza sana. Ecco cosa faccio io e cosa consiglio a chi mi chiede.
Se usi un agente di coding (Cursor, Copilot, Claude Code, Codex)
- Niente autonomia cieca: non lasciare che l'agente esegua comandi da terminale senza che tu li legga. La modalità "approva tutto da solo" è proprio quella che apre la porta.
- Verifica i nomi: quando l'agente ti propone un repository o un pacchetto, controlla che esista davvero e che sia quello ufficiale. Una ricerca di dieci secondi ti salva la giornata.
- Fissa le versioni: usa il version pinning per le dipendenze, così non ti ritrovi a scaricare "l'ultima versione" di qualcosa che è cambiato sotto il naso.
- Privilegio minimo: fai girare gli agenti con i permessi più bassi possibili, idealmente in una sandbox o in un container isolato.
Se gestisci agenti in azienda o per clienti (PMI)
- Tratta le skill come supply chain: non come semplici file di testo o prompt, ma come componenti software da vagliare, con un responsabile e un inventario.
- Controlla cosa punta la skill, non solo cosa contiene: se una skill recupera un URL esterno, quella è la parte da tenere d'occhio.
- Validazione continua: una scansione una tantum non basta più. Serve monitoraggio nel tempo dei link e delle risorse esterne referenziate.
- Approvazione centralizzata: evita che ogni collega installi add-on AI a caso. Un'unica fonte controllata riduce drasticamente la superficie d'attacco.
Se stai integrando agenti AI nei tuoi flussi di lavoro e vuoi farlo in sicurezza, questo è esattamente il tipo di consulenza in cui posso darti una mano concreta: richiedi un preventivo e ne parliamo.
Cosa ci insegna HalluSquatting sul futuro degli agenti
Il messaggio di fondo è più ampio del singolo attacco. Per anni i ricercatori hanno avvertito che dare permessi da utente a un LLM — un programma con output non deterministici — è rischioso. HalluSquatting è la dimostrazione pratica di quel rischio.
Gli agenti AI sono strumenti potentissimi, e non ho intenzione di smettere di usarli. Approfondisco spesso come sfruttarli bene, per esempio nella mia guida al Model Context Protocol o nel confronto tra Claude Code e Codex. Ma la potenza va accompagnata dalla stessa igiene di sicurezza che applichi a qualsiasi codice di terze parti. La regola è semplice: ogni cosa che il tuo agente recupera da fuori va trattata come se la eseguisse con i tuoi permessi. Perché, spesso, è esattamente ciò che accade.
Leggi anche
- Colibrì: GLM-5.2 da 744B in locale con 25 GB di RAM
- ChatGPT Lavoro: l'agente AI che completa progetti da solo
- Moltbook Data Breach: dietro l'IA ci sono sempre gli umani
- Claude Code Skill: 15 estensioni, repo e tips 2026
HalluSquatting ci ricorda che la sicurezza degli agenti AI non è un dettaglio da rimandare. Se vuoi integrare l'AI nei processi della tua azienda senza aprire falle, contattami: costruiamo insieme automazioni utili e sicure.
