Ataques como Slopsquatting e HalluSquatting usam nomes falsos gerados por IA para infiltrar códigos maliciosos. Entenda como essa falha de segurança funciona e o que fazer para proteger os sistemas e o site da sua empresa.
Ataques de IA: Uma Nova Ameaça aos Seus Sistemas e Site
No cenário digital atual, a inteligência artificial (IA) trouxe avanços notáveis, mas também abriu portas para novas vulnerabilidades. Recentemente, três termos ganharam destaque no universo da segurança: Slopsquatting, Phantom Domains e HalluSquatting. Embora pareçam diferentes, eles representam a mesma falha de segurança crítica: agentes de codificação de IA que confiam em nomes de pacotes, repositórios ou domínios alucinados, ou seja, que não existem na realidade. Para donos de empresas, gestores de marketing e profissionais que lidam com sites, compreender essa ameaça é crucial para tomar decisões estratégicas e garantir a integridade dos seus ativos digitais.
A raiz do problema reside na forma como os modelos de linguagem (LLMs) geram suas saídas. Eles produzem nomes que soam corretos, mas que são inventados. O perigo surge quando um processo automatizado recebe permissão para buscar algo malicioso com base nesses nomes falsos. Não há necessidade de roubar senhas ou enviar e-mails de phishing; o atacante apenas precisa que um processo automatizado baixe algo que ele registrou previamente.
Como o Ataque Funciona: A Armadilha dos Nomes Alucinados
A mecânica desses ataques é engenhosa e preocupante. Um atacante consegue prever URLs, nomes de bibliotecas de software e outras saídas que um LLM pode produzir. Com base nessa previsão, o atacante registra esses nomes falsos e configura uma armadilha. Quando um agente de codificação de IA é instruído a buscar uma ferramenta, ele pode “alucinar” um desses nomes registrados pelo atacante. Como o agente confia nesse nome não verificado, ele prossegue para baixar e executar o código malicioso.
Pesquisadores da Universidade de Tel Aviv, Technion e Intuit, liderados por Aya Spira, publicaram um estudo em julho de 2026 que comprova a previsibilidade desses nomes falsos. Eles testaram vários prompts em ferramentas como Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI e OpenClaw, e os modelos alucinaram nomes idênticos em até 85% das vezes para solicitações de repositórios e 100% das vezes para instalações de habilidades. Isso significa que a IA, ao tentar ser útil, acaba criando vetores de ataque previsíveis.
Slopsquatting, Phantom Domains e HalluSquatting: As Diferenças e o Impacto
Embora todos explorem a mesma falha, cada ataque mira um recurso diferente:
- Slopsquatting: Explora nomes falsos de pacotes npm, como o caso de 'react-codeshift' detectado por Charlie Eriksen em janeiro de 2026, que tentou ser instalado em 237 projetos.
- Phantom Squatting: Ataca domínios falsos. A Unit 42 da Palo Alto Networks encontrou 250.000 domínios alucinados por modelos de linguagem em junho de 2026, que poderiam ser registrados por atacantes.
- HalluSquatting: Foca em repositórios e “skills” (habilidades) de agentes de IA. A pesquisa de Spira demonstrou como atacantes podem assumir o controle de agentes de IA ao registrar nomes previsíveis com antecedência.
A grande diferença, e o que torna o HalluSquatting ainda mais perigoso, é sua capacidade de escala. Enquanto Slopsquatting e Phantom Squatting afetam uma máquina por vez, o HalluSquatting permite que o próprio agente de IA realize o trabalho de entrega do código malicioso em larga escala. Não há senhas roubadas, worms se espalhando ou sistemas operacionais específicos a serem visados. Qualquer máquina que execute um agente de IA exposto pode ser um alvo, transformando-a em parte de uma botnet sem que o operador precise de um comprometimento inicial da máquina. Como os pesquisadores afirmam: “Os ataques sempre melhoram, nunca pioram”.
Por Que as Defesas Tradicionais Falham?
Os métodos de segurança convencionais, como certificados SSL e DNSSEC, são ineficazes contra esses novos ataques. Um certificado SSL prova quem é o proprietário de um domínio, mas não garante que o domínio seja seguro ou que o usuário pretendia se conectar a ele. Da mesma forma, o DNSSEC impede que outras pessoas assumam um domínio, mas não impede que um atacante registre um domínio falso que a IA alucinou. Scanners de segurança também falham, pois inspecionam o que é declarado em um upload, não sua carga útil oculta, e são facilmente contornados, como demonstrado pela Trail of Bits em junho de 2026, que conseguiu contornar scanners de lojas de habilidades em menos de uma hora.
A falha central reside no que é chamado de late binding na arquitetura de software. Em vez de verificar a origem do código e dos dados antes da execução, os sistemas confiam na saída gerada pelos LLMs e executam comandos sem verificação prévia. Essa flexibilidade, que pode ser útil no desenvolvimento, torna-se uma vulnerabilidade massiva em segurança. Com a pressa para lançar produtos mais rapidamente, as equipes de desenvolvimento, muitas vezes, concedem permissões amplas a ferramentas de IA para baixar, alterar e implantar elementos, aumentando os riscos de ataques.
Como Proteger Seu Site e Sistemas Contra Essa Ameaça
Para proteger os sistemas e o site da sua empresa, é fundamental implementar verificações robustas no pipeline de desenvolvimento e deployment. A verificação precisa ser automatizada e rápida, acompanhando o ritmo da IA. A revisão humana, por si só, não consegue acompanhar a velocidade das ferramentas de IA.
- Verificação Pré-Busca (Pre-fetch Verification): Ative essa funcionalidade onde ela existir. Muitos frameworks de agentes a entregam desativada por padrão. Isso garante que os componentes sejam verificados antes de serem baixados.
- Gerenciamento Governamental de Dependências: Em vez de permitir que os agentes busquem diretamente em registros públicos, direcione a resolução de dependências de código aberto através de um catálogo governado e pré-verificado. Um exemplo é o Curated Catalog da ActiveState, que verifica cada pacote antes que o agente o baixe. Se um pacote falhar na verificação, ele se torna invisível para o agente, impedindo que qualquer código malicioso entre nos seus sistemas.
- Cuidado com Dependências Transativas: O risco se estende para além dos pacotes de nível superior. Um agente pode selecionar um pacote legítimo, mas suas dependências transitivas (camadas abaixo) podem estar comprometidas. Ferramentas de segurança modernas raramente inspecionam essas dependências mais profundas.
Abordar a falha de design subjacente — a confiança em nomes não verificados — é a chave para parar esses ataques. Equipes que tentam corrigir ferramentas individuais acabarão perseguindo novas variações do mesmo problema. Aqueles que corrigem a falha fundamental impedem o ataque antes que o modelo execute qualquer comando não confiável. Uma solução de governança centralizada garante que apenas componentes validados e verificados sejam acessíveis aos agentes.
Para entender melhor como a segurança do seu site pode ser aprimorada, especialmente em um ambiente WordPress, veja nosso artigo sobre Proteção de Bots para WordPress: Kinsta vs. Cloudflare. Além disso, garantir um Domínio Estratégico para Empresas também é parte da segurança e credibilidade online.
Perguntas frequentes
O que é HalluSquatting?
HalluSquatting é um ataque onde pesquisadores preveem nomes falsos de repositórios, pacotes ou habilidades que agentes de IA inventam, registram esses nomes e os carregam com instruções maliciosas antes que um agente de um usuário real os procure. Ele executa a carga útil diretamente através das permissões de uso de ferramentas do agente.
Qual a diferença entre HalluSquatting, Slopsquatting e Phantom Squatting?
Todos exploram a mesma falha — um agente confia em um nome não verificado — mas visam recursos diferentes. Slopsquatting ataca nomes de pacotes npm, Phantom Squatting ataca domínios web e HalluSquatting ataca repositórios e habilidades de agentes de IA.
Scanners de segurança existentes podem detectar esses ataques?
Não de forma confiável. Scanners inspecionam o conteúdo declarado de um upload, não sua carga útil oculta. Atacantes otimizam a carga útil para contornar esses scanners no momento da busca, tornando-os ineficazes.
O que as equipes de engenharia devem fazer para se proteger?
Ativar a verificação pré-busca onde disponível (geralmente desativada por padrão) e direcionar a resolução de dependências de código aberto através de um catálogo governado e pré-verificado, em vez de permitir que agentes busquem diretamente em registros públicos.
Fonte: BleepingComputer
