HalluSquatting : quand les assistants de code IA installent des maliciels qu'ils ont hallucinés

Introduction

Une équipe de recherche de l'Université de Tel-Aviv, du Technion et d'Intuit — menée par Aya Spira et Ben Nassi, le groupe à l'origine des travaux antérieurs sur les vers de courriel IA et le détournement d'agendas — a dévoilé en juillet 2026 une nouvelle attaque de chaîne d'approvisionnement nommée HalluSquatting. Elle transforme l'une des faiblesses les plus connues des grands modèles de langage en un mécanisme fiable de diffusion de maliciels.

Pour toute organisation dont les développeurs utilisent des assistants de code IA, HalluSquatting rappelle que la chaîne d'approvisionnement logicielle compte désormais un nouveau participant, imprévisible : l'IA elle-même.

Qu'est-ce que HalluSquatting ?

HalluSquatting est une attaque de chaîne d'approvisionnement qui exploite les hallucinations de l'IA. Les assistants de code IA inventent fréquemment des noms de paquets, de dépôts ou d'extensions qui n'existent pas réellement. HalluSquatting enregistre ces noms imaginaires avant que l'assistant d'une victime ne les invente — ainsi, lorsque l'IA récupère avec assurance la ressource qu'elle vient d'inventer, elle télécharge plutôt le code de l'attaquant.

Les chercheurs ont résumé la cause profonde sans détour : le problème vient du fait que « les agents IA font confiance à des noms qu'on ne leur a jamais réellement donnés ». Ils ont aussi offert un avertissement lucide sur la suite :

« Les attaques ne font que s'améliorer ; elles n'empirent jamais. »

Comment fonctionne l'attaque

La technique enchaîne deux comportements de l'IA — l'hallucination et l'injection d'invite — en un exploit reproductible :

1. Sélection de la cible — Les attaquants choisissent des ressources populaires et tendance que les développeurs demandent souvent à une IA d'installer ou de cloner.
2. Reconnaissance de motifs — Ils interrogent de façon répétée les assistants IA et notent les faux noms de paquets ou de dépôts que les modèles inventent systématiquement.
3. Enregistrement dans l'espace de noms — Ils enregistrent ces noms hallucinés sur GitHub ou dans des places de marché d'extensions.
4. Injection de la charge — Ils intègrent des instructions malveillantes et adversariales dans le paquet nouvellement enregistré.
5. Exécution — Lorsqu'un véritable développeur demande la ressource légitime, l'IA génère le même nom halluciné et récupère la version de l'attaquant.
6. Détournement — Les instructions dissimulées s'intègrent à la compréhension de la tâche par l'IA, et l'accès au terminal intégré à l'assistant exécute les commandes de l'attaquant.

Fait crucial, l'instruction malveillante arrive par le contenu que l'assistant récupère — et non par ce que l'utilisateur saisit — ce qui explique pourquoi elle échappe aux développeurs qui surveillent leurs propres invites plutôt que les actions autonomes de l'IA.

Outils touchés et taux de réussite

Les chercheurs ont démontré l'attaque contre un large éventail d'outils de code IA très utilisés :

• Cursor
• Windsurf
• GitHub Copilot
• Cline
• Gemini CLI de Google
• La famille d'assistants OpenClaw

C'est la constance des hallucinations qui rend l'attaque praticable :

• Jusqu'à 85 % de constance dans la génération du même nom erroné pour les demandes de dépôts.
• Jusqu'à 100 % de constance dans certains scénarios d'installation d'extensions.
• L'efficacité est demeurée stable selon les formulations et les fournisseurs.

Les charges de test étaient des espaces réservés inoffensifs, mais elles ont réussi à exécuter du code arbitraire sur les machines cibles — le fondement nécessaire pour installer et contrôler un maliciel de type botnet à grande échelle.

Une famille d'attaques par « squatting »

HalluSquatting rejoint une famille grandissante d'attaques qui exploitent les noms inventés par l'IA :

• Slopsquatting (2026) : enregistrement des faux noms de paquets que les IA inventent. Dans un cas, un paquet react-codeshift malveillant s'est propagé à 237 projets.
• Phantom Squatting (2026) : l'unité 42 de Palo Alto Networks a recensé environ 250 000 domaines hallucinés et non enregistrés, disponibles pour l'exploitation.
• Contournement des analyseurs d'extensions (2026) : Trail of Bits a contourné plusieurs analyseurs de sécurité de places de marché en moins d'une heure.

Le fil conducteur : les assistants IA génèrent des références qui semblent faire autorité mais qui n'ont jamais été vérifiées — et les attaquants industrialisent cette faille.

Pourquoi cela concerne les organisations

1. L'IA fait désormais partie de votre chaîne d'approvisionnement

La sécurité classique de la chaîne d'approvisionnement suppose qu'un humain a choisi la dépendance. Lorsqu'une IA sélectionne et installe silencieusement un paquet, cette hypothèse s'effondre — tout comme les contrôles bâtis autour d'elle.

2. Les modes d'exécution automatique suppriment le filet de sécurité

Les fonctionnalités qui permettent aux assistants d'exécuter des commandes sans approbation (options de contournement des permissions, modes « yolo » d'exécution automatique) transforment un nom halluciné directement en exécution de code sur la machine d'un développeur — et, par extension, à l'intérieur de votre réseau.

3. Les postes des développeurs sont des cibles de grande valeur

Les postes des développeurs contiennent du code source, des identifiants infonuagiques et des accès à la production. L'exécution de code à cet endroit compte parmi les points d'appui les plus dommageables qu'un attaquant puisse obtenir.

4. Échelle et automatisation

Comme les hallucinations sont constantes, un seul faux nom enregistré peut compromettre de nombreuses organisations qui utilisent les mêmes outils et posent des questions similaires.

Mesures défensives et bonnes pratiques

Les organisations peuvent réduire leur exposition grâce à des contrôles en couches :

Garder un humain dans la boucle

• Exiger une approbation avant que les agents IA n'exécutent des commandes d'installation, de clonage ou de récupération.
• Désactiver par défaut les modes d'exécution automatique et de contournement des permissions dans les outils de code IA.

Vérifier avant de faire confiance

• Traiter les noms de paquets et de dépôts suggérés par l'IA comme des suppositions, non des faits.
• Confirmer que toute ressource suggérée renvoie à une source légitime et bien établie avant de l'installer.
• Lorsque c'est possible, activer un outillage qui effectue des vérifications de paquets en temps réel avant la récupération.

Renforcer la chaîne de développement

• Utiliser des listes d'autorisation de dépendances et des miroirs de paquets internes.
• Appliquer l'analyse de secrets et l'analyse de composition logicielle dans le CI/CD.
• Isoler le développement assisté par IA dans des environnements à privilèges minimaux vis-à-vis des identifiants et de la production.

Éprouver votre exposition

• Inclure les flux de travail assistés par IA dans vos revues de sécurité et vos tests d'intrusion, et valider le comportement des outils de vos développeurs lorsqu'on leur demande de récupérer une ressource qui n'existe pas.

Enseignement stratégique pour les responsables TI

HalluSquatting montre que l'adoption d'outils de développement IA étend discrètement la chaîne d'approvisionnement logicielle jusqu'à l'imagination du modèle. Le principe défensif reste familier même si le vecteur est nouveau : ne laissez pas une entrée non vérifiée déclencher une action privilégiée. Une IA capable d'inventer un nom et d'exécuter une commande sans confirmation n'est qu'à une hallucination d'exécuter le code d'un attaquant.

Les organisations devraient réévaluer leurs politiques d'outillage IA, désactiver l'exécution sans surveillance pour tout ce qui récupère du code externe, et traiter la sélection de dépendances pilotée par l'IA comme un risque de chaîne d'approvisionnement méritant la même vigilance que tout composant tiers.

Comment 403 peut vous aider

Chez 403, nous aidons les organisations à adopter l'IA de façon sûre plutôt qu'aveugle. Nos engagements de Red Team IA évaluent le comportement de vos outils et intégrations assistés par IA sous pression adversariale — y compris l'abus des hallucinations, l'injection d'invite et l'exécution non sécurisée de commandes. Nos tests d'intrusion et nos audits de sécurité étendent cette vigilance à l'ensemble de votre chaîne de développement et de votre infrastructure, afin qu'un outil pratique ne devienne pas une porte ouverte.

Si vos équipes développent avec des assistants de code IA, contactez-nous pour une consultation gratuite et une évaluation concrète de votre exposition au niveau de la chaîne d'approvisionnement et de l'environnement de développement.

Sources

• The Hacker News — New HalluSquatting Attack Could Trick AI Coding Assistants Into Installing Botnet Malware
  https://thehackernews.com/2026/07/new-hallusquatting-attack-could-trick.html
• Unit 42 (Palo Alto Networks) — Recherche sur le squattage de paquets et de domaines hallucinés
  https://unit42.paloaltonetworks.com/
• Centre canadien pour la cybersécurité — Orientation en matière de cybersécurité pour les petites et moyennes organisations
  https://cyber.gc.ca/fr/orientation