AI安全领域长期将提示注入视为“纸上谈兵”的漏洞——理论上致命，实践中却难以规模化。这一认知正被一项新研究彻底打破：研究人员提出名为HalluSquatting的攻击手法，首次证明攻击者可利用大语言模型（LLM）的“幻觉”特性，将9款最流行的AI编码工具转化为大规模僵尸网络的组装节点。从分布式拒绝服务攻击（DDoS）到设备感染，传统需要人工维护的botnet，如今可通过AI助手自主生成并扩散。

这一突破的核心在于AI编码助手的“幻觉”行为。当开发者在这些工具中输入代码生成请求时，模型有时会“脑补”出不存在但看似合理的函数、库或API。HalluSquatting攻击者正是利用了这一点：他们预先在公开仓库、文档或包管理器中植入恶意代码片段，并设计提示词让AI助手在“幻觉”中主动引用这些恶意资源。受害者再开发者无意间复制、调试或部署AI生成的代码时，恶意负载便随正规流程植入生产环境。

与传统提示注入不同，HalluSquatting属于拉取式攻击。此前攻击者需主动向模型发送恶意指令（推送式），或通过诱骗用户点击特定链接触发（混合式），两者都难以突破单点限制。而HalluSquatting让模型在正常交互中“自动”引用攻击代码，每个使用该助手的开发者都成为潜在感染源。研究人员测试了GitHub Copilot、Amazon CodeWhisperer、Tabnine等9款主流AI编码助手，发现它们均无法区分合法库与恶意植入的“幻觉”推荐。这意味着一个精心设计的攻击链，可以像繁殖病毒一样，让每个生成片段都传播恶意负载。

更严峻的是，这种攻击可构建僵尸网络。研究者演示了如何让感染的设备相互识别并组成C2（命令与控制）拓扑，进而执行DDoS攻击或后续渗透。相比于传统通过漏洞扫描或钓鱼邮件建立的botnet，HalluSquatting的传播成本极低——攻击者只需维护一批“幻觉”资源池，AI助手会主动完成分发。这使大规模网络武器化不再依赖漏洞利用技术，而转向对模型行为模式的操纵。

对开发者而言，这一研究敲响了警钟：AI编码助手输出的代码不应被视为“可信源”。建议实施以下措施：1）启用依赖完整性校验，对AI生成的库引用进行SHA或PGP验证；2）在CI/CD管道中加入幻觉检测层，拦截模型推荐的非官方包名；3）限制AI工具的联网权限，仅允许访问白名单的包仓库。从行业层面看，LLM提供商需在训练阶段强化对抗性鲁棒性，例如引入更严格的幻觉抑制损失函数，或对代码生成输出进行后处理校验。

HalluSquatting的出现标志着提示注入攻击进入规模化阶段。当AI工具成为生产力基石，其每一个“失误”都可能被利用为网络武器的弹药。这不再是理论上“可能”的风险，而是开发者行业必须即刻应对的工程实践挑战。