Panda SecurityLes assistants de programmation dopés à l’intelligence artificielle sont conçus pour faire gagner du temps aux développeurs. Trouver un dépôt GitHub, installer une bibliothèque, récupérer une ressource ou exécuter du code. Mais cette automatisation ouvre aussi une nouvelle voie aux cyberattaquants.
Des chercheurs ont découvert une technique baptisée HalluSquatting, capable d’exploiter une faiblesse des modèles d’IA. Lorsqu’ils ne connaissent pas précisément l’emplacement d’une ressource, ils peuvent en inventer un. Des attaquants peuvent alors enregistrer eux-mêmes cette fausse ressource et y placer du code malveillant. Le scénario pourrait permettre d’infecter massivement des machines et, à terme, de constituer des botnets utilisés pour des attaques DDoS, du minage de cryptomonnaies ou des campagnes de ransomware.
L’essentiel à retenir
- La technique, baptisée HalluSquatting, exploite les hallucinations des modèles d’IA.
- Les chercheurs l’ont testée sur neuf assistants et agents de programmation, dont Cursor, Gemini CLI, Windsurf et GitHub Copilot.
- Les IA peuvent inventer l’adresse d’un dépôt ou d’une ressource qu’elles ne parviennent pas à identifier correctement.
- Un attaquant peut anticiper certaines de ces erreurs, enregistrer la ressource correspondante et y placer du contenu malveillant.
- Le danger augmente lorsque l’assistant dispose d’un terminal capable d’exécuter du code sur l’ordinateur de l’utilisateur.
- Les chercheurs estiment que cette technique pourrait permettre de compromettre des machines à grande échelle.
L’HalluSquatting : l’IA invente une adresse qui n’existe pas
Le principe de HalluSquatting repose sur un comportement bien connu des modèles de langage : l’hallucination.
Lorsqu’un développeur demande à un assistant IA d’installer une ressource ou de récupérer un dépôt, le modèle doit déterminer où la trouver. Or, lorsqu’il s’agit d’une ressource récente ou peu connue, il peut fournir une adresse incorrecte plutôt que reconnaître qu’il ne sait pas.
Les chercheurs ont constaté que ce phénomène pouvait être particulièrement important pour les ressources récentes. Pour des dépôts publiés en 2025, les six modèles de langage étudiés produisaient une mauvaise adresse dans 92,4 % des requêtes en moyenne, contre seulement 0,9 % pour des dépôts publiés avant 2019.
C’est là que le scénario devient intéressant pour un attaquant :
- Il identifie les noms de ressources que les IA ont tendance à associer à une mauvaise adresse.
- Il vérifie s’il est possible d’enregistrer cette adresse erronée.
- Il crée alors le dépôt ou la ressource correspondante.
- Il y place du code ou des instructions malveillantes.
- Lorsqu’un assistant IA fait la même erreur, il peut récupérer la mauvaise ressource contrôlée par l’attaquant.
Le cybercriminel n’a donc pas besoin de convaincre chaque victime de télécharger un fichier. Il attend que l’IA l’envoie vers lui.
Pourquoi neuf assistants sont concernés
Les chercheurs ont testé cette technique sur neuf outils de programmation utilisant des modèles d’IA. Cursor, Cursor CLI, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw et NanoClaw.
Le problème est particulièrement sérieux pour les outils dits agentiques. Contrairement à un chatbot qui se contente de proposer du code, ces assistants peuvent disposer d’un terminal ou d’un accès à des commandes permettant d’exécuter directement ce qu’ils trouvent.
C’est ce qui transforme une simple hallucination en véritable problème de sécurité.
Une IA qui indique un mauvais lien est gênante. Une IA qui récupère automatiquement la mauvaise ressource puis exécute son contenu peut, elle, offrir une véritable porte d’entrée à un attaquant.
Les chercheurs montrent qu’un attaquant peut créer un faux dépôt de code contenant des instructions malveillantes. Si un assistant de programmation IA récupère ce dépôt et suit automatiquement les instructions qu’il contient, il peut être amené à installer sur l’ordinateur de l’utilisateur un outil appelé reverse shell.
Celui-ci permet ensuite à l’attaquant d’établir une connexion à distance avec la machine et d’y exécuter des commandes. L’IA, qui devait simplement aider le développeur à installer un logiciel, devient alors malgré elle l’intermédiaire de l’attaque.
Du simple ordinateur compromis au botnet
C’est ici que HalluSquatting devient particulièrement inquiétant.
Une attaque traditionnelle de type prompt injection doit souvent viser chaque victime individuellement. Un e-mail contenant une instruction malveillante doit être envoyé à une personne précise, par exemple.
HalluSquatting fonctionne différemment. L’attaquant peut déposer une ressource malveillante dans un endroit où plusieurs assistants IA sont susceptibles d’aller la chercher.
Le mécanisme peut donc être beaucoup plus facile à industrialiser :
- Un développeur demande à son assistant d’installer une ressource populaire.
- L’IA génère une adresse erronée.
- Cette adresse correspond justement à une ressource créée par l’attaquant.
- L’agent récupère le contenu.
- Le terminal intégré peut exécuter les instructions malveillantes.
- La machine est compromise.
Si suffisamment d’utilisateurs font la même demande aux mêmes assistants, une seule ressource piégée pourrait potentiellement toucher un très grand nombre de machines.
Pourquoi le nom « HalluSquatting » ?
Le terme combine deux concepts : Hallu fait référence aux hallucinations des modèles d’IA. Lorsqu’ils ne connaissent pas la bonne réponse, ils peuvent en générer une qui paraît plausible.
Squatting renvoie au typosquatting, une technique utilisée depuis longtemps par les cybercriminels. Elle consiste à enregistrer un nom très proche de celui d’un site, d’un dépôt ou d’un paquet légitime afin de profiter d’une erreur de l’utilisateur.
La différence est importante. Avec le typosquatting, c’est l’utilisateur qui se trompe. Avec HalluSquatting, c’est potentiellement l’IA qui fait l’erreur à sa place.
Des conséquences qui dépassent le simple vol de données
Une fois un grand nombre de machines compromises, les attaquants pourraient les regrouper au sein d’un botnet, c’est-à-dire un réseau d’appareils contrôlés à distance.
Un tel réseau peut servir à différentes activités criminelles :
- Lancer des attaques DDoS contre des sites ou des services ;
- Utiliser la puissance de calcul des machines pour miner des cryptomonnaies ;
- Déployer des ransomwares sur plusieurs réseaux ;
- Exploiter les machines compromises pour d’autres attaques.
L’intérêt pour les cybercriminels est donc évident. Au lieu de compromettre patiemment une machine après l’autre, ils pourraient exploiter le même comportement d’un assistant IA pour atteindre potentiellement de nombreuses victimes.
Le problème est aussi celui de la confiance
Cette découverte rappelle une limite fondamentale des assistants IA. Ils peuvent être très convaincants même lorsqu’ils se trompent.
Un développeur peut naturellement faire confiance à un outil qui lui indique où récupérer une bibliothèque ou un dépôt, surtout lorsque l’opération est automatisée.
Mais les chercheurs soulignent justement qu’il faut partir du principe que les agents IA finiront par tromper les utilisateurs. Les équipes doivent donc concevoir leurs systèmes en conséquence.
Cela signifie notamment qu’une ressource trouvée ou recommandée par une IA n’est pas forcément fiable. Il faut toujours vérifier sa provenance avant de l’utiliser.
Plus les assistants disposent de permissions importantes, plus cette vérification devient essentielle. Une IA qui peut décider quoi télécharger et exécuter doit être traitée comme un outil disposant d’un accès privilégié, et non comme un simple moteur de recherche.
C’est finalement tout le paradoxe de HalluSquatting. Les assistants IA sont conçus pour automatiser les tâches fastidieuses des développeurs, mais cette automatisation peut aussi donner aux cybercriminels une nouvelle façon d’industrialiser leurs attaques.
