Três ataques, três nomes e uma falha idêntica: agentes de codificação de IA tratam um identificador inventado como se fosse um comando verificado.
Peça a um agente de codificação de IA para buscar uma ferramenta.
Às vezes, ele retorna um nome que parece correto, mas não existe.
Antes, desenvolvedores costumavam ignorar esse erro, supondo que um compilador ou um teste o impediria.
Infelizmente, essa suposição é perigosa e está errada.
Na prática, estamos entregando acesso privilegiado a modelos de linguagem que às vezes adivinham palavras, e os hackers sabem como usar isso contra nós.
O ataque funciona assim: um atacante consegue calcular URLs, nomes de bibliotecas de software e outras saídas que um LLM provavelmente produzirá e, depois, pode acessá-las de alguma forma.
O atacante pega o nome, arma a isca e espera.
Ele não precisa roubar senhas.
Não precisa enviar phishing.
Também não precisa que alguém clique em um link.
Basta que, em algum lugar, uma pessoa conceda a um processo automatizado permissão para buscar algo malicioso.
Pesquisadores da Universidade de Tel Aviv, do Technion e da Intuit publicaram um artigo em 8 de julho de 2026.
A equipe, liderada por Aya Spira no grupo de Ben Nassi, comprovou que esses nomes falsos são previsíveis.
Eles testaram múltiplos prompts no Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI e OpenClaw.
Os modelos inventaram nomes idênticos em até 85% dos casos para solicitações de repositórios.
Para instalações de skills, inventaram nomes idênticos em 100% das vezes.
“O slopsquatting explorou um nome de pacote falso.
O phantom squatting explorou um domínio falso.
O HalluSquatting explora um repositório ou skill falso”, diz Warden.
“Em todos os casos, o agente confia em um nome que ninguém verificou.”
A comparação, porém, subestima o que há de novo aqui.
Slopsquatting e phantom squatting levam o código do atacante para uma máquina por vez.
O HalluSquatting escala muito mais, porque o próprio agente faz o trabalho de entrega que antes exigia um operador de botnet com máquinas realmente comprometidas.
Não há senhas roubadas, nem worms se espalhando de dispositivo em dispositivo, nem um único sistema operacional como alvo.
Qualquer máquina que execute um agente exposto pode ser atingida.
Os pesquisadores criaram esse ataque justamente para demonstrar que ele se repete em escala.
Por isso, tratam seus próprios números como piso, não como teto: “Os ataques sempre melhoram”, escreveram.
“Nunca pioram.”
As equipes de segurança já viram essa falha três vezes em seis meses.
Janeiro de 2026, Slopsquatting: Charlie Eriksen, da Aikido Security, flagrou agentes de IA tentando instalar um pacote npm falso chamado react-codeshift em 237 projetos.
Ele registrou o nome para impedir que atacantes o usassem.
Junho de 2026, Phantom Squatting: a Unit 42, da Palo Alto Networks, encontrou 250.000 domínios que modelos de linguagem inventam.
Qualquer pessoa poderia registrar esses domínios.
Julho de 2026, HalluSquatting: a equipe de pesquisa de Spira mostrou como atacantes podem assumir o controle de agentes de IA ao reivindicar nomes previsíveis com antecedência.
Todos os ataques dependem do mesmo defeito central.
O sistema confia em um nome gerado por um modelo sem verificar se alguém o examinou e validou.
Esse problema nasce de dois pontos conectados.
Primeiro, modelos de linguagem geram respostas com base em probabilidades.
Dadas as entradas certas, eles produzem saídas previsíveis, não de forma determinística, claro, mas o artigo mostra que são previsíveis o suficiente para criar vetores de ataque.
Isso lembra as rainbow tables, em que é possível pré-gerar a saída de hashes de senhas.
Você não precisa saber a senha de alguém se conseguir obter o hash inseguro e souber qual entrada gera aquele hash.
Segundo, desenvolvedores constroem e executam código e pipelines que rodam comandos com base na saída gerada por esses modelos de linguagem.
A menos que você seja muito cuidadoso, seus agentes vão executar código ou buscar dados antes de ter a chance de verificar a origem desse código e desses dados.
Em arquitetura de software, esse tipo de ligação tardia oferece flexibilidade.
Em arquitetura de segurança, confiar em uma fonte externa de dados não verificada cria uma vulnerabilidade enorme.
O perigo está no intervalo entre a geração de texto e a execução de código.
O que era seguro e verdadeiro pode ter mudado desde a última verificação, ontem ou até uma hora atrás.
Os desenvolvedores estão correndo para lançar produtos mais rápido.
Tratam a infraestrutura de build como ferramenta descartável, ao mesmo tempo em que concedem a ela permissões amplas para baixar, alterar e implantar coisas.
Eles automatizaram o typosquatting e a dependency confusion.
Quando agentes passam a ter permissão para buscar e executar código sem revisão humana suficiente, o risco de ataque aumenta.
O risco vai além dos pacotes de primeiro nível.
Um agente pode escolher um pacote legítimo, com nome real.
Ferramentas modernas de segurança podem verificar esse pacote principal.
Mas você sabe que elas raramente inspecionam as dependências transitivas três ou quatro camadas abaixo da árvore?
Desenvolvedores não conseguem inspecionar essas dependências apenas lendo o código-fonte de nível superior ou dizendo “parece correto” e pressionando Enter.
Pior ainda, se uma dependência for comprometida, mas as versões anteriores estiverem seguras, as regras que você tinha ontem podem não proteger você hoje.
Se um atacante conseguir comprometer uma dependência profunda ou qualquer coisa da qual ela dependa, um pipeline automatizado pode levar esse comprometimento para dentro dos seus sistemas.
Os pesquisadores observam que suas descobertas representam um nível mínimo de risco.
Esses ataques vão se tornar mais rápidos e mais precisos na seleção de alvos.
As ferramentas de segurança existentes falham contra esses padrões de ataque.
Em junho de 2026, a Trail of Bits contornou scanners de lojas de skills de agentes em menos de uma hora.
Os scanners examinam as alegações declaradas, e não os payloads ocultos.
Certificados SSL e DNSSEC não impedem essa ameaça.
Um atacante que registre um domínio falso pode obter facilmente um certificado gratuito da Let’s Encrypt.
O certificado prova quem é o dono do domínio, mas não prova que o usuário queria se conectar a ele nem que o domínio é seguro.
O DNSSEC impede que outras pessoas assumam o controle de um domínio, mas e se o domínio tiver sido registrado ontem porque um atacante previu que o modelo mais recente levaria pessoas para lá?
Para proteger seus sistemas, você precisa garantir que nenhum dos seus pipelines execute código ou dados sem verificação.
Essa checagem precisa acontecer automaticamente, na velocidade da IA.
A revisão humana não consegue acompanhar ferramentas automatizadas de IA.
As equipes de engenharia precisam enfrentar esse problema diretamente.
Elas podem gastar tempo construindo pipelines internos de verificação ou adotar uma solução de governança já existente.
Equipes que corrigem ferramentas isoladamente passarão anos perseguindo novas variações desse exploit.
Equipes que corrigem a falha de design subjacente interromperão o ataque antes que o modelo execute um comando em que não se pode confiar.
As organizações devem resolver dependências de open source por meio de algo como o Curated Catalog da ActiveState, um repositório privado, governado por políticas, de componentes verificados.
O catálogo valida o pacote antes que o agente faça o download.
Um pacote que falha nessa verificação fica completamente invisível para o agente, causando uma falha antes que qualquer código ruim entre nos seus sistemas.
Essa defesa é diferente de uma varredura.
A Trail of Bits burlou scanners porque eles examinam um upload desconhecido no momento da busca, exatamente quando o atacante já otimizou o payload para passar despercebido.
O Curated Catalog elimina esse momento por completo: ele só entrega componentes que já foram verificados antes de qualquer agente solicitá-los, então não existe upload desconhecido para contornar.
Esse único passo transforma um palpite estatístico em um recurso confiável ou em uma falha deliberada, que exige investigação humana.
HalluSquatting é um ataque em que pesquisadores pré-computam os nomes falsos de repositórios, pacotes ou skills que agentes de codificação de IA inventam de forma previsível, registram esses nomes primeiro e os carregam com instruções maliciosas antes que o agente de um usuário real vá procurá-los.
Todos os três exploits exploram a mesma falha, um agente confiando em um nome que ninguém verificou, mas têm alvos diferentes.
Slopsquatting mira nomes de pacotes npm, phantom squatting mira domínios na web e HalluSquatting mira repositórios e skills de agentes, executando o payload diretamente por meio das permissões de uso de ferramentas do próprio agente.
Não de forma confiável.
A Trail of Bits contornou todos os scanners públicos de lojas de skills que testou em menos de uma hora, porque os scanners inspecionam o conteúdo declarado de um upload desconhecido, e não o payload oculto.
Uma varredura estática, feita depois, está correndo contra um atacante que construiu o payload justamente para derrotar essa varredura.
Ative a verificação antes da busca sempre que ela existir; a maioria dos frameworks de agentes a mantém desativada por padrão.
Encaminhe a resolução de dependências de open source por um catálogo governado e previamente validado, em vez de deixar que os agentes busquem diretamente em registros públicos.
Os pesquisadores descobriram que os nomes inventados eram consistentes entre ferramentas construídas sobre modelos subjacentes diferentes, incluindo Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI e OpenClaw.
Isso mostra um padrão na forma como os agentes são construídos e autorizados, e não uma falha isolada de um único fornecedor.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...