À mesure que les agents de codage comme Cursor, GitHub Copilot ou Gemini CLI gagnent en autonomie, capables de cloner des dépôts, d’installer des paquets et d’exécuter des commandes sans validation humaine, la sécurité de la chaîne d’approvisionnement logicielle se retrouve exposée à un nouveau front.
Selon SecurityWeek, une équipe de chercheurs de l’université de Tel-Aviv, du Technion (l’Institut de technologie d’Israël) et d’Intuit a présenté une nouvelle technique d’attaque baptisée HalluSquatting (« adversarial hallucination squatting »).
Elle exploite un défaut bien connu des grands modèles de langage : leur tendance à inventer des noms de dépôts ou de paquets qui n’existent pas. En préenregistrant ces ressources fictives et en y dissimulant du code malveillant, un attaquant peut transformer une simple hallucination en exécution de code à distance, sans jamais cibler directement sa victime.
Comment fonctionne HalluSquatting
Concrètement, l’attaquant préenregistre à l’avance les faux noms de dépôts ou de paquets que les modèles ont tendance à générer de façon répétée, puis y dissimule des instructions malveillantes. Lorsqu’un utilisateur demande ensuite à un outil comme Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI ou OpenClaw de cloner un dépôt ou d’installer une compétence, l’IA peut halluciner ce nom et le prendre pour une ressource réelle. Si le terminal intégré exécute automatiquement les commandes qui suivent, cela peut déboucher sur l’installation d’un logiciel malveillant, le lancement d’un outil de piratage ou une exécution de code à distance.
Des taux d’hallucination vertigineux
Dans les tests menés par les chercheurs, le taux d’hallucination a atteint jusqu’à 85 % pour les requêtes de clonage de dépôt, et jusqu’à 100 % pour les demandes d’installation de compétences. Autre constat préoccupant : les mêmes noms fictifs reviennent de façon récurrente à travers plusieurs modèles de fondation différents, ce qui rend l’attaque potentiellement reproductible sur un large éventail de services d’IA, et non sur un seul modèle en particulier.
Une menace distincte du prompt injection classique
Jusqu’ici, les menaces visant les IA reposaient principalement sur l’injection de prompt : des instructions dissimulées dans un courriel, un commentaire de code ou une notification, qui trompent le modèle via un canal direct vers la victime. Avec l’HalluSquatting, l’attaquant n’a besoin d’aucun accès direct à sa cible : il exploite une information fictive que l’IA génère elle-même. Les chercheurs situent d’ailleurs cette technique dans une logique de « botnets agentiques », dont la taille dépend uniquement de la fréquence à laquelle les outils d’IA hallucinent la ressource piégée, plutôt que des failles ou des mouvements latéraux classiques.
Vers une exécution plus prudente et un contrôle des permissions
Cette découverte intervient alors que les agents de codage évoluent de plus en plus vers l’exécution autonome, clonage de dépôts, installation de paquets, lancement de commandes en terminal, au-delà de la simple génération de code. Or, c’est précisément cette autonomie, moteur de productivité, qui peut devenir une porte d’entrée pour un attaquant. La compétition entre éditeurs d’outils d’IA pourrait donc se déplacer de la précision des réponses vers la sécurité de l’exécution et le contrôle des permissions.
Les entreprises devraient ainsi être amenées à revoir leur stratégie d’adoption de l’IA : vérifier systématiquement l’origine, la propriété et la signature du code des dépôts et paquets recommandés par une IA, plutôt que de les exécuter tels quels. La limitation des droits d’exécution en terminal, ou la restriction de l’usage à une liste de dépôts approuvés, devrait également se généraliser.
Les chercheurs ont averti les éditeurs concernés avant la publication de leurs travaux, et n’ont pas divulgué les détails techniques susceptibles d’être directement réutilisés par des attaquants.
Source:
www.zdnet.fr
