Los asistentes de programación con inteligencia artificial (IA) se han convertido en la mano derecha de miles de desarrolladores. Sin embargo, tienen un vicio bastante bien conocido: a veces se inventan las cosas. Si le pides a una IA que busque una herramienta o un complemento popular, en ocasiones te dará un nombre muy convincente de un proyecto que en realidad no existe.

Ahora, un equipo de investigadores de ciberseguridad formado expertos de la Universidad de Tel Aviv, el Technion e Intuit, ha descubierto cómo convertir este simple descuido en un ciberataque masivo. El método ha sido bautizado como ‘HalluSquatting’ y permite a los atacantes engañar a la IA para que descargue e instale código malicioso por su cuenta, abriendo la puerta a la creación de redes de ordenadores infectados (o botnets).

El ataque es brillante por su sencillez y combina dos comportamientos típicos de las inteligencias artificiales: la alucinación (cuando la IA inventa un dato y lo da por bueno) y la inyección de comandos (cuando recibe instrucciones ocultas que cambian su comportamiento).

Cómo se lleva a cabo

En primer lugar, el atacante escoge la presa, eligiendo una herramienta o un programa informático que se haya puesto de moda recientemente. Al ser muy nuevo, la IA no lo tiene bien registrado en su memoria.

Después, el cibermalo le pide repetidamente a la IA que busque esa herramienta y detecta qué nombre inventado suele repetir con más frecuencia. Una vez identificado dicho nombre el ciberdelincuente lo registra en plataformas populars como GitHub o tiendas de complementos e introduce código malicioso en su interior. 

Aquí es cuando viene el peligro. Cuando un usuario real le pide a su asistente de IA que descargue la herramienta de moda, la IA alucina, sugiere el nombre falso que el atacante ya ha registrado y lo descarga automáticamente.

Dado que muchos de estos asistentes cuentan con permisos para ejecutar comandos en el sistema, una vez que descargan las instrucciones tramposas, la propia IA acaba instalando el malware en el ordenador del usuario sin que este se dé cuenta.

Lo que hace que este ataque sea realmente peligroso es que los errores de la IA no son aleatorios. Durante las pruebas, los investigadores comprobaron que, ante la misma consulta, asistentes de diferentes empresas coincidían en inventarse exactamente el mismo nombre equivocado hasta en un 100 % de los casos.

El experimento se probó con éxito en herramientas muy extendidas en el sector informático, como Cursor, Windsurf, GitHub Copilot, Cline o la línea de comandos de Gemini de Google. En todos los casos, los asistentes terminaron ejecutando el código de prueba enviado por los investigadores.

Los expertos ya han avisado del riesgo a las empresas afectadas para que puedan reforzar la seguridad de sus asistentes antes de que los cibercriminales exploten esta vía a gran escala.

Qué hacer para protegerse

Por su parte, los usuarios y desarrolladores pueden tomar algunas medidas para evitar sorpresas desagradables, que incluyen desactivar el modo ‘sin supervisión’ (es decir, evitar los modos de ejecución automática en los asistentes de IA, verificar las fuentes de forma manual y tratar las sugerencias como hipótesis y no hechos verificados).