Les assistants de code adorent inventer. Des chercheurs viennent d’exploiter ce petit défaut de fabrication pour piéger les agents IA et leur faire télécharger du code malveillant, sans que personne ne clique sur rien. La technique porte un nom qui claque : HalluSquatting.
Points clés
- HalluSquatting combine typosquatting et hallucinations d’IA pour piéger les assistants de code
- L’attaquant enregistre les noms de dépôts ou paquets inventés par l’IA puis y place du code malveillant
- Les agents autonomes qui installent des dépendances sans supervision sont les plus exposés
- Parades : vérifier les dépôts, épingler les versions et bloquer l’exécution automatique de code
Le principe : squatter les hallucinations
Le nom mélange deux vieilles connaissances. Le typosquatting, qui consiste à enregistrer des noms de paquets proches de ceux qui existent, en misant sur une faute de frappe. Et les hallucinations, ce talent des grands modèles de langage pour inventer des faits avec l’aplomb d’un expert. Ici, les agents IA de code recommandent régulièrement des dépôts, des bibliothèques ou des « skills » qui n’existent tout simplement pas.
L’attaquant n’a plus qu’à écouter ce que l’IA invente, puis à enregistrer lui-même le nom halluciné. La prochaine fois que l’agent recommande ce paquet fantôme, il tombe sur une version bien réelle, préparée par l’attaquant. L’assistant récupère alors ce dépôt piégé et exécute le code fourni, botnet inclus.
Un scénario qui vise l’automatisation
La démonstration décrite dans HalluSquatting vise particulièrement les agents autonomes, ceux qu’on laisse installer des dépendances et lancer des commandes sans supervision humaine à chaque étape. C’est tout le paradoxe de l’agent : plus il est autonome, moins il y a d’yeux pour repérer que le paquet suggéré sort de nulle part.
Les hallucinations de noms de paquets ne sont pas un bug marginal. Plusieurs travaux ont déjà documenté leur récurrence, largement suffisante pour qu’un attaquant patient constitue tout un catalogue de noms crédibles à squatter.
Comment se protéger
Les parades relèvent surtout du bon sens de développeur, celui qu’on oublie dès qu’une IA fait le travail à notre place. Vérifier l’existence et la réputation d’un dépôt avant installation. Épingler les dépendances à des versions connues. Interdire aux agents d’exécuter du code fraîchement téléchargé sans validation. Bref, traiter les suggestions d’un assistant IA comme celles d’un stagiaire un peu trop confiant : utiles, mais à relire avant de les déployer en production.
