Los asistentes de codificación por IA tienen la costumbre de inventar cosas. Cuando se les pide que obtengan una herramienta popular, a veces devuelven un nombre con apariencia real para un proyecto que no existe. Una nueva investigación, denominada HalluSquatting por sus autores, convierte ese hábito en un ataque: averiguar los nombres falsos que la IA inventa de forma fiable, registrarlos primero y esperar a que el asistente descargue la trampa en nombre del usuario.
Cualquier persona cuyo asistente de IA pueda obtener un recurso externo y luego ejecutar comandos con poca supervisión humana está expuesta. En las pruebas, ese camino llevó al asistente a ejecutar código proporcionado por el atacante en la máquina. Repitiendo el proceso con un recurso suficientemente popular, un solo nombre plantado puede alcanzar muchas máquinas, por lo que los investigadores lo plantean como una forma de montar una botnet.
Cómo funciona
El ataque encadena dos peculiaridades de la IA. La primera es una alucinación: la IA inventa algo y lo presenta como real. La segunda es una inyección de instrucciones: una instrucción con una trampa que secuestra a la IA para que siga al atacante en lugar del usuario. En este caso, la inyección es indirecta y llega a través del contenido que el asistente obtiene, no de lo que el usuario escribe.
- Elegir un objetivo: el atacante encuentra un repositorio o plugin que sea tendencia, para que mucha gente pida a su IA que lo obtenga.
- Aprender el error: el atacante pide a la IA que obtenga ese recurso repetidamente y anota el nombre falso que inventa con más frecuencia.
- Registrar el nombre falso: el atacante registra ese nombre en GitHub o en una tienda de plugins y oculta instrucciones maliciosas en su interior.
- Esperar: un usuario real pide a su asistente que obtenga el recurso popular. El asistente inventa el mismo nombre falso y descarga la versión del atacante. Las instrucciones ocultas se integran en lo que el asistente cree que debe hacer, y el asistente secuestrado utiliza sus propias herramientas para ejecutarlas.
La trampa no es código que se ejecute por sí mismo. Funciona porque estos asistentes tienen terminales entre sus herramientas incorporadas, así que una vez que las instrucciones plantadas toman el control, 'instalar un bot' es algo que el asistente puede hacer. Lo que hace práctico al ataque es que los nombres falsos no son aleatorios. En los experimentos, el error fue consistente: en diferentes formulaciones y modelos de distintas empresas, el asistente eligió el mismo nombre incorrecto hasta en el 85% de las solicitudes de repositorio y en el 100% de las instalaciones de skills. Lo probaron en herramientas como Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI de Google y la familia de asistentes OpenClaw, logrando que cada una ejecutara código del atacante. Las cargas de prueba fueron placebos inofensivos; una real seguiría el mismo camino.
La investigación proviene de Aya Spira y colegas del grupo de Ben Nassi en la Universidad de Tel Aviv, con Stav Cohen del Technion y Ron Bitton de Intuit. El grupo de Nassi ya había hecho antes algo similar, creando un gusano de correo electrónico con IA y una invitación de calendario que secuestraba Gemini de Google. El equipo afirma que informó a los proveedores afectados, fabricantes de modelos y operadores de mercado antes de hacerlo público, y retuvo los pasos exactos necesarios para replicar el ataque.
¿Por qué es un nuevo tipo de botnet?
Las botnets tradicionales requieren trabajo para construirse. Se basan en contraseñas débiles o malware que se propaga de máquina en máquina, y normalmente reúnen un solo tipo de dispositivo, como Mirai con cámaras y routers. Esto no necesita nada de eso. No requiere contraseñas, ni propagación, y como la carga útil llega como texto que la IA lee en lugar de un exploit de red, no es algo que un cortafuegos esté vigilando. Las máquinas en las que aterriza pueden ejecutar cualquier sistema operativo, no una flota uniforme.
La IA es aquí el vehículo de reparto, no la carga. Las instrucciones plantadas la engañan para que instale un bot común, y una vez que ese bot se ejecuta, la máquina pertenece a una botnet como cualquier otra. Lo nuevo es la combinación que lo logra: un nombre que la IA inventa de forma predecible, un mercado donde cualquiera puede registrar ese nombre, y un agente con permiso para obtenerlo y ejecutarlo.
Las piezas no son nuevas, aunque la combinación sí lo sea. Los atacantes ya habían aprendido a registrar nombres de paquetes de software falsos que las IA inventan, un truco llamado 'slopsquatting'. En enero de 2026, Charlie Eriksen de Aikido Security encontró un paquete npm ficticio, react-codeshift, que instrucciones escritas por IA ya habían distribuido a 237 proyectos de código, con agentes aún intentando instalarlo a diario; él mismo lo registró antes de que un atacante pudiera hacerlo, por lo que no causó daño. La idea saltó luego de los paquetes a las direcciones web. Palo Alto Networks' Unit 42 describió recientemente 'phantom squatting', aproximadamente 250.000 dominios alucinados sin registrar y disponibles para cualquiera. HalluSquatting es la versión que llega hasta ejecutar código secuestrando al agente que realiza la obtención. Y los mercados destinados a filtrar subidas maliciosas no son una gran barrera: en junio, Trail of Bits introdujo 'skills' maliciosos en varios escáneres de tiendas en menos de una hora.
Qué hacer
Todo depende de una condición: un agente que obtiene un recurso externo y lo ejecuta sin que nadie lo revise. Si se cierra eso, el ataque se detiene. La solución más eficaz es también la más simple: hacer que el asistente busque antes de obtener. Una búsqueda real ancla al agente en lo que realmente existe y reduce drásticamente las conjeturas. Eso es trabajo para los creadores de estas herramientas, que también pueden entrenar al planificador (la parte que asigna una solicitud a pasos) para que busque primero el recurso y trate palabras como clone, install y fetch como banderas.
Los usuarios y equipos de seguridad tienen palancas a más corto plazo. Por defecto, estos agentes piden permiso antes de ejecutar un comando. La exposición son los modos automáticos (el flag skip-permissions de Claude Code, el modo yolo de Gemini CLI) que lo desactivan, así que la primera regla es no dejar que un agente se ejecute sin supervisión sobre nada que haya obtenido. Algunas herramientas ahora añaden una capa de seguridad que inspecciona lo que el agente lee o está a punto de hacer antes de actuar, como el modo automático de Claude Code y la comprobación Conseca de Gemini CLI, pero eso reduce el riesgo, no lo elimina. Ningún interruptor único cierra esto, así que también hay que verificar que un repositorio o nombre de paquete se resuelva a la fuente real esperada antes de que un agente lo descargue, y tratar cualquier nombre que la IA proporcione como una suposición, no un hecho.
Las plataformas tienen su propia palanca. Pueden impedir que la gente reutilice nombres de repositorio conocidos bajo cuentas nuevas, y pre-registrar los nombres falsos que las IA probablemente inventen (la misma defensa ya usada contra el typosquatting), de modo que esos nombres apunten de vuelta al proyecto real. Los investigadores califican sus resultados como un límite inferior: 'Los ataques siempre mejoran; nunca empeoran'. No hay un solo CVE que parchear aquí. Lo plantean no como un error de un producto, sino como una debilidad en cómo los agentes de IA confían en nombres que nunca les fueron dados realmente.
