Lỗ hổng HalluSquatting: AI tự ý 'bịa' kho lưu trữ mã nguồn, nguy cơ bị tấn công chiếm quyền lên tới 100%

Theo tin từ IT ngày 10 tháng 7, trang tin công nghệ Tom's Hardware đã đăng tải bài viết vào ngày hôm qua (9 tháng 7), báo cáo rằng các nhà nghiên cứu đã phát hiện một lỗ hổng AI mới có tên là HalluSquatting. Lỗ hổng này làm trầm trọng thêm tình trạng "ảo giác" (hallucination) của các mô hình ngôn ngữ lớn khi gọi các công cụ, khiến chúng coi các địa chỉ kho lưu trữ mã nguồn (code repository) không tồn tại hoặc sai lệch là địa chỉ thực.

Lưu ý của IT: Ảo giác AI là những kết quả không chính xác hoặc gây hiểu lầm do các mô hình AI tạo ra. Những lỗi này có thể xuất phát từ nhiều yếu tố, bao gồm dữ liệu huấn luyện không đầy đủ, mô hình đưa ra các giả định sai lầm, hoặc dữ liệu dùng để huấn luyện mô hình bị thiên kiến.

Nghiên cứu này được công bố bởi các nhà nghiên cứu từ Đại học Tel Aviv, Viện Công nghệ Technion Israel và Intuit. Họ chỉ ra rằng khi các AI agent gặp phải các dự án, kho lưu trữ hoặc tên công cụ lạ, chúng có thể tự động hoàn thiện ra những địa chỉ trông có vẻ hợp lý nhưng thực tế lại sai lệch.

Ví dụ, với địa chỉ kho lưu trữ mới là OriginalOwner/WindowsTelemetryOff, do dữ liệu huấn luyện của mô hình chưa cập nhật các dự án mới hơn, mô hình có thể tạo ra các địa chỉ như SuperHacker/WindowsTelemetryOff, WindowsTelemetryOff/WindowsTelemetryOff, hoặc các địa chỉ tương tự có lỗi chính tả.

Nghiên cứu cho biết, khi các AI agent viết mã như Claude nhận được các chỉ thị kiểu như "chạy tập lệnh windowstelemetryoff", mô hình có thể trực tiếp tạo ra tên kho lưu trữ ảo, thậm chí sau khi thực hiện tìm kiếm trên web, nó vẫn truy cập vào phiên bản độc hại và tiếp tục chạy mã bên trong đó.

Một khi mã độc được thực thi trên thiết bị của người dùng, nó có thể kích hoạt reverse shell, đánh cắp dữ liệu và mật khẩu, cài đặt phần mềm, đào tiền mã hóa, hoặc tiếp tục kiểm soát AI agent để thực hiện các thao tác tiếp theo.

Kết quả định lượng cho thấy, tỷ lệ ảo giác của mô hình đối với các vị trí kho lưu trữ mã nguồn gần đây cao nhất lên tới 85%, và đối với các kỹ năng AI agent phổ biến có thể đạt tới 100%. Đối với các tên kho lưu trữ GitHub được phát hành vào năm 2025, tỷ lệ ảo giác trung bình của mô hình là 92,4%; trong khi đối với các kho lưu trữ được phát hành từ năm 2019 trở về trước, tỷ lệ sai địa chỉ chỉ là 0,9%.

Ở tầng ứng dụng, tỷ lệ tấn công thành công có sự phân hóa: Cursor, Gemini CLI và Copilot có tỷ lệ thành công từ 20%-35%, trong khi OpenClaw và các biến thể của nó đạt gần 80%-100%.

Tham khảo

Scalable Untargeted Promptware Attacks via Universal and Transferable Adversarial HalluSquatting

Tuyên bố quảng cáo: Các liên kết chuyển hướng bên ngoài trong bài viết (bao gồm nhưng không giới hạn ở siêu liên kết, mã QR, mật khẩu, v.v.) được sử dụng để truyền tải thêm thông tin, giúp tiết kiệm thời gian chọn lọc, kết quả chỉ mang tính chất tham khảo. Tất cả các bài viết của IT đều bao gồm tuyên bố này.