HalluSquatting : la nouvelle menace qui transforme les IA en vecteurs de botnet

Selon une étude récente de l’Université de Tel Aviv, 85 % des requêtes adressées à un assistant de codage IA aboutissent à une hallucination de nom de dépôt. Cette faille, baptisée HalluSquatting, permet à un attaquant de transformer un assistant de codage en vecteur de botnet. Comment une simple hallucination d’IA peut-elle compromettre la sécurité de votre infrastructure ? Cet article décrypte le mécanisme, les risques concrets pour les entreprises françaises et les mesures de protection à mettre en œuvre dès aujourd’hui.

HalluSquatting : le chaînon manquant entre hallucination et botnet

L’HalluSquatting exploite deux faiblesses bien connues des grands modèles de langage (LLM) : l’hallucination et l’injection indirecte de prompt. En combinant ces deux phénomènes, des chercheurs de l’Université de Tel Aviv, en collaboration avec le Technion et Intuit, ont démontré qu’il est possible de transformer un assistant de codage en vecteur de botnet.

Le mécanisme en quatre étapes

1. Ciblage d’une ressource tendance. L’attaquant identifie un dépôt GitHub ou un plugin populaire que les développeurs demandent fréquemment à leur IA. Les ressources récentes, absentes des données d’entraînement du modèle, sont particulièrement vulnérables car l’IA invente alors des noms.
2. Identification de l’hallucination. L’attaquant interroge l’assistant IA à de multiples reprises pour obtenir la ressource ciblée et note le nom fictif le plus fréquemment généré.
3. Enregistrement du nom fictif. L’attaquant crée un dépôt GitHub ou un plugin portant ce nom inventé, y dissimule des instructions malveillantes.
4. Exécution de l’attaque. Un développeur légitime demande à son assistant IA de récupérer la ressource populaire. L’assistant, victime de son hallucination, télécharge la version piégée. Les instructions cachées prennent le contrôle de l’assistant, qui exécute alors des commandes malveillantes, comme l’installation d’un botnet.

« L’attaque ne repose pas sur un code qui s’exécute tout seul. Elle fonctionne parce que ces assistants disposent d’un terminal parmi leurs outils intégrés. Une fois que les instructions piégées prennent le contrôle, “installer un bot” devient une simple action que l’assistant peut réaliser. » - Aya Spira, chercheuse à l’Université de Tel Aviv

Pourquoi cette attaque est-elle particulièrement dangereuse ?

Contrairement aux botnets traditionnels qui exploitent des mots de passe faibles ou des vulnérabilités réseau, l’HalluSquatting ne nécessite aucune faille de sécurité classique. Le payload arrive sous forme de texte que l’IA lit, et non via une exploitation réseau. Les pare-feux traditionnels ne détectent donc pas cette menace.

Les assistants de codage les plus vulnérables

Les chercheurs ont testé l’attaque sur plusieurs assistants de codage populaires, notamment Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI de Google et la famille OpenClaw. Dans tous les cas, l’assistant a exécuté le code malveillant fourni par l’attaquant. Les taux d’hallucination les plus élevés ont été observés sur les requêtes d’installation de compétences (skills), atteignant 100 % dans certains scénarios.

« Dans nos expériences, l’erreur était constante : à travers différentes formulations et différents modèles, l’assistant utilisait le même nom erroné dans jusqu’à 85 % des requêtes de dépôt et 100 % des installations de compétences. » - Aya Spira, chercheuse à l’Université de Tel Aviv

Pourquoi les assistants de codage sont-ils des cibles privilégiées ?

Les assistants de codage modernes, comme Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI ou OpenClaw, intègrent des capacités d’exécution de commandes. Cette fonctionnalité, bien que pratique pour automatiser des tâches, constitue la porte d’entrée de l’attaque HalluSquatting. L’assistant, une fois piégé, utilise ses propres outils pour installer un botnet.

Les facteurs de risque

• Hallucination fréquente : les modèles inventent des noms pour des ressources récentes absentes de leurs données d’entraînement.
• Consistance de l’erreur : dans les tests, le même nom fictif était généré dans 85 % des requêtes de dépôt et 100 % des installations de compétences.
• Permissions élevées : les assistants disposent souvent d’un accès au terminal et de la capacité d’exécuter des commandes.
• Marchés peu filtrés : des chercheurs de Trail of Bits ont réussi à faire passer des compétences malveillantes devant les scanners de plusieurs plateformes en moins d’une heure en juin 2026.

Comment protéger votre entreprise contre l’HalluSquatting

La protection contre cette menace repose sur une combinaison de mesures techniques, organisationnelles et de sensibilisation. Voici les actions prioritaires à mettre en œuvre.

1. Restreindre les modes d’exécution automatique

La vulnérabilité principale réside dans les modes d’exécution sans supervision humaine. Les assistants comme Claude Code (mode skip-permissions) ou Gemini CLI (mode yolo) désactivent les demandes de confirmation. Ne jamais activer ces modes sur des environnements de production ou d’accès à des ressources externes.

2. Implémenter une vérification préalable des ressources

Avant qu’un assistant ne télécharge une ressource, configurez une étape de vérification :

• Recherche préalable : l’assistant doit interroger un registre officiel (GitHub, npm, PyPI) pour confirmer l’existence du dépôt ou du package.
• Validation de l’éditeur : vérifiez que le nom de l’éditeur correspond à l’éditeur officiel de la ressource.
• Liste blanche : maintenez une liste de dépôts et de packages approuvés pour les environnements critiques.

3. Sensibiliser les équipes de développement

Les développeurs doivent être formés à ne pas faire aveuglément confiance aux suggestions de leur assistant IA. Chaque nom de dépôt ou de package doit être considéré comme une hypothèse, non comme un fait. Encouragez la vérification manuelle des ressources avant leur intégration.

Les précédents qui ont pavé la voie

L’HalluSquatting n’est pas un phénomène isolé. Il s’inscrit dans une lignée d’attaques exploitant les hallucinations des IA.

Le slopsquatting : l’ancêtre

En janvier 2026, Charlie Eriksen d’Aikido Security a découvert un package npm fictif, react-codeshift, généré par une IA et déjà référencé dans 237 projets de code. Il l’a enregistré lui-même pour éviter qu’un attaquant ne le fasse. Cette technique, appelée slopsquatting, a ouvert la voie à l’HalluSquatting.

Le phantom squatting : l’extension aux noms de domaine

L’unité 42 de Palo Alto Networks a récemment décrit le phantom squatting, où environ 250 000 noms de domaine hallucinés par des IA étaient laissés sans enregistrement, prêts à être exploités par des attaquants.

L’HalluSquatting : la version exécutable

L’HalluSquatting va plus loin en permettant l’exécution de code via le détournement de l’assistant lui-même. Les marketplaces, censées filtrer les contenus malveillants, se sont révélées inefficaces : en juin 2026, des chercheurs de Trail of Bits ont réussi à faire passer des compétences malveillantes devant les scanners de plusieurs plateformes en moins d’une heure.

Comment se protéger concrètement ?

La défense contre l’HalluSquatting repose sur une approche multicouche. Voici les mesures à implémenter dès maintenant.

Pour les équipes de sécurité

• Interdire les modes sans confirmation : désactivez les options skip-permissions (Claude Code) et yolo (Gemini CLI) dans vos politiques de sécurité.
• Mettre en place une couche de validation : utilisez des outils comme Conseca (Gemini CLI) ou les couches de sécurité intégrées à Claude Code pour inspecter les actions avant exécution.
• Auditer les accès aux ressources externes : surveillez les requêtes vers des dépôts GitHub ou des registres de packages inconnus.

Pour les développeurs

• Vérifiez systématiquement les noms : avant d’exécuter une commande suggérée par l’IA, vérifiez que le dépôt ou le package existe réellement et correspond à la source attendue.
• Utilisez des listes blanches : pour les projets critiques, maintenez une liste de dépôts et de packages approuvés.
• Ne faites pas confiance aux suggestions : traitez tout nom généré par l’IA comme une hypothèse, non comme un fait.

Pour les fournisseurs d’assistants IA

• Recherche préalable obligatoire : avant de suggérer un nom de dépôt, l’assistant doit interroger un registre officiel pour vérifier son existence.
• Pré-enregistrement des noms hallucinés : les plateformes peuvent anticiper les noms fictifs les plus fréquents et les réserver pour les rediriger vers les ressources légitimes.
• Formation du planificateur : le module qui traduit une requête en actions doit être entraîné à vérifier l’existence d’une ressource avant de proposer un nom.

« Les attaques s’améliorent toujours ; elles ne s’aggravent jamais. » - Aya Spira, chercheuse à l’Université de Tel Aviv

Mise en œuvre : un plan d’action en 5 étapes

1. Auditez vos assistants IA. Identifiez les outils utilisés dans votre organisation et vérifiez leurs configurations de sécurité.
2. Désactivez les modes sans confirmation. Supprimez les options skip-permissions et yolo de vos politiques.
3. Mettez en place une validation des ressources. Avant toute exécution, l’assistant doit vérifier l’existence du dépôt ou du package auprès d’un registre officiel.
4. Formez vos développeurs. Sensibilisez-les aux risques d’hallucination et à la nécessité de vérifier les suggestions de l’IA.
5. Surveillez les comportements anormaux. Mettez en place une détection des tentatives d’installation de packages ou de dépôts inconnus.

Conclusion : l’IA, un vecteur d’attaque à ne pas sous-estimer

L’HalluSquatting illustre une nouvelle génération de menaces où l’IA, loin d’être un simple outil, devient un vecteur d’attaque actif. En exploitant les hallucinations des modèles de langage, les attaquants peuvent transformer un assistant de codage en vecteur de botnet sans exploiter de vulnérabilité réseau classique. La protection repose sur une vigilance accrue, la restriction des modes automatiques et la vérification systématique des ressources suggérées. En 2026, la sécurité des environnements de développement ne peut plus se passer d’une remise en question des suggestions de l’IA. Agissez dès maintenant pour sécuriser vos pipelines de développement.