在AI安全的简短历史中，提示注入迅速成为最大的威胁。大型语言模型本质上无法区分用户提供的合法指令与潜藏在电子邮件、源代码和其他第三方内容中的恶意指令。这使得悄无声息地注入恶意命令变得非常简单，LLM会乐意遵循这些命令。由于无法强制执行可信源与非可信源之间的关键边界，AI引擎开发者只能设置复杂的保护措施，旨在减轻损害，而非解决根本原因。迄今为止，大多数提示注入事件都属于一种称为“推”的类别，其中每个潜在受害者都是目标。例如，攻击者将恶意指令注入到单个电子邮件或日历邀请中。由于注入必须被发送（或推送）到每个特定目标，因此攻击的规模受到限制，阻碍了大规模利用互联网的可能性。同时，基于“拉”的攻击，其中LLM主动寻找植入在网站上的对抗性提示，仍然有限。由于无法引诱大量LLM前往恶意网站，这些类型的攻击也无法扩展。进入HalluSquatting 现在，研究人员设计了一种改变这一现状的基于拉的攻击。一种新的攻击，研究人员称之为HalluSquatting，具有组建庞大的僵尸网络、执行大规模DDoS和大规模感染设备的潜力，这在提示注入攻击中尚属首次。该攻击针对AI编码助手和代理，包括Cursor、Cursor CLI、Gemini CLI、Windsurf、GitHub Copilot、Cline、OpenClaw、ZeroClaw和NanoClaw，所有这些都容易受到攻击。在日常工作中，这些助手和代理通常会从代码库和注册表中提取代码和其他资源。HalluSquatting威胁模型。信用：Spira等人。HalluSquatting威胁模型。信用：Spira等人。HalluSquatting是对抗性幻觉蹲点的缩写，基于LLM固有的倾向于构想在代码库和注册表中托管的资源标识符。它针对编码代理和助手，这些代理和助手通常访问高权限命令行以从第三方资源运行代码。通过预测LLM最有可能构想的标识符，然后注册并播种它们以安装反向 shell 或其他恶意软件，该攻击可以不加区分地感染大量设备，而无需逐个目标。