HalluSquatting คือเทคนิคโจมตีรูปแบบใหม่ที่ถูกเปิดเผยโดยนักวิจัยจาก Tel Aviv University, Technion และ Intuit โดยใช้ประโยชน์จาก AI Hallucination หรือพฤติกรรมที่ AI สร้างข้อมูลที่ไม่มีอยู่จริงขึ้นมา เพื่อหลอกให้ AI Coding Assistant แนะนำ Package หรือ Repository ที่ผู้โจมตีเตรียมไว้ล่วงหน้า เมื่อ Developer ทำตามคำแนะนำ โค้ดอันตรายก็จะถูกติดตั้งและรันบนเครื่องทันที
สิ่งที่ทำให้กรณีนี้น่ากังวลเป็นพิเศษคือ ผู้โจมตีไม่จำเป็นต้องเจาะระบบ Package Repository หรือโจมตีโครงสร้างพื้นฐานใดๆ เพียงแค่ ศึกษาว่า AI มักสร้างชื่อ Package อะไรขึ้นมาโดยไม่มีอยู่จริง แล้วไปจดทะเบียนชื่อเหล่านั้นก่อน พร้อมฝัง Malware ไว้รอ การโจมตีนี้จึงใช้ประโยชน์จากความไว้วางใจที่ Developer มีต่อ AI Coding Assistant โดยตรง
วิธีการโจมตีที่รายงานพบ
แคมเปญ HalluSquatting ทำงานในลักษณะ Passive Trap โดยผู้โจมตีไม่จำเป็นต้องโจมตีเหยื่อโดยตรง แต่วางกับดักรอไว้ล่วงหน้า
ขั้นแรก นักวิจัยทดสอบพบว่า AI Coding Assistant มักแนะนำชื่อ Package หรือ Repository ที่ไม่มีอยู่จริงซ้ำๆ ในสถานการณ์เดิม โดยเฉพาะเมื่อถามถึง Repository ยอดนิยมหรือ Trending Skill โดยมีอัตรา Hallucination สูงถึง 85% สำหรับ Repository และ 100% สำหรับ Trending Skill ในบางกรณี
จากนั้นผู้โจมตีนำรายชื่อ Package ที่ AI มักสร้างขึ้น ไปจดทะเบียนบน npm, PyPI หรือ Package Registry อื่นๆ พร้อมฝัง Malicious Code ไว้ภายใน เมื่อ Developer ขอให้ AI ช่วยเขียนโค้ดและ AI แนะนำชื่อ Package ดังกล่าว — Developer ติดตั้งตามและโค้ดอันตรายก็รันบนเครื่องทันที
รายงานระบุว่าในการทดสอบ เมื่อถาม AI ให้ Clone Repository ยอดนิยม AI แนะนำตำแหน่งผิดถึง 85% และเมื่อผู้โจมตีฝัง Payload ไว้ที่ตำแหน่งนั้น ก็สามารถให้ Coding Assistant รันโค้ดบนเครื่องของ Developer ได้ โดย Developer ไม่สงสัยเลย
รายละเอียดภัยคุกคาม
HalluSquatting เป็นการโจมตีแบบ Software Supply Chain Attack ที่ใช้ AI เป็นช่องทางแพร่กระจาย โดยมุ่งเป้าไปยัง Developer Environment ซึ่งมักมีสิทธิ์เข้าถึงระบบสูง
เมื่อ Malicious Package ถูกติดตั้ง ผู้โจมตีอาจได้รับ Credentials, API Key, Token หรือสิทธิ์เข้าถึงระบบ CI/CD ที่สามารถใช้โจมตีต่อเนื่องได้ นอกจากนี้ยังพบว่าหากมี Package ปลอมที่ได้รับการแนะนำจาก AI อย่างแพร่หลาย การโจมตีอาจแพร่กระจายไปยังเครื่องจำนวนมากได้พร้อมกัน ในลักษณะของการสร้าง Botnet
เครื่องมือที่ได้รับผลกระทบ (9 รายการ)
Cursor, Cursor CLI, Gemini CLI, Windsurf, GitHub Copilot, Cline, OpenClaw, ZeroClaw และ NanoClaw
ผลกระทบที่อาจเกิดขึ้น
- Credentials, API Key, SSH Key และ Token ที่อยู่บนเครื่อง Developer อาจถูกขโมย
- ผู้โจมตีอาจเข้าถึง Source Code Repository, Cloud Account หรือ Build Pipeline
- ระบบ CI/CD ที่ Developer เชื่อมต่ออยู่อาจถูกใช้เป็นช่องทางโจมตีต่อในระบบ Production
- Package ปลอมที่ถูก AI แนะนำอาจถูกรวมเข้าใน Project และส่งต่อไปยัง Developer คนอื่นในทีม
- หากโจมตีสำเร็จในวงกว้าง อาจนำไปสู่การสร้าง Botnet หรือ Ransomware Attack ในระดับองค์กร
กรณีจริงที่เกิดขึ้นแล้ว
ในเดือนมกราคม 2026 Aikido Security ค้นพบ Package ปลอมชื่อ react-codeshift บน npm ซึ่งถูก AI สร้างชื่อขึ้นมาและแนะนำในคำแนะนำการเขียนโค้ด จนแพร่กระจายไปยัง 237 โปรเจกต์ โดยยังคงมี Agent พยายาม Install Package ดังกล่าวทุกวันแม้จะมีการแจ้งเตือนแล้ว
สิ่งที่องค์กรควรตรวจสอบทันที
- ตรวจสอบ dependency และ lockfile ของโปรเจกต์ทั้งหมด เช่น
package-lock.json,yarn.lock,requirements.txtหา Package ที่ไม่คุ้นเคยหรือมี Download น้อยผิดปกติ - ตรวจสอบ Package ที่ AI Coding Tool แนะนำว่ามีอยู่ใน Official Repository จริงก่อนทุกครั้ง
- ตรวจสอบ Log จาก CI/CD Pipeline หาการ Install Package ที่ไม่ได้อยู่ใน Approved List
- ตรวจสอบ GitHub Actions, Workflow และ Self-hosted Runner สำหรับ Script ที่ไม่คุ้นเคย
- ตรวจสอบ Credentials และ Token ที่ใช้งานในระบบพัฒนา ว่ามีการนำไปใช้จากตำแหน่งที่ผิดปกติหรือไม่
แนวทางลดความเสี่ยง
- ตรวจสอบชื่อ Package ทุกตัวที่ AI แนะนำ ก่อนติดตั้งเสมอ อย่า Trust คำแนะนำของ AI โดยไม่ยืนยัน
- ใช้ Package Manager ที่มี Lockfile เช่น
package-lock.jsonหรือyarn.lockและ Commit ไว้ใน Repository เสมอ - เปิดใช้ npm provenance / trusted publishing เพื่อยืนยัน Chain of Custody ของ Package
- ใช้ Tools ตรวจสอบ Dependency เช่น Socket, Snyk หรือ Dependabot ก่อน Merge ทุก Pull Request
- จำกัดสิทธิ์ Token ให้เป็น Least Privilege และแยกสิทธิ์ระหว่างเครื่อง Developer, CI/CD และ Production
- สร้าง Approved Package List ภายในองค์กรและบังคับให้ Developer ใช้เฉพาะ Package ที่ผ่านการตรวจสอบแล้ว
- แจ้งทีม Developer ให้ระวัง Package ที่มี Download น้อย, Publish ล่าสุด หรือ Maintainer ไม่มีประวัติ
วิเคราะห์ในมุมมองจาก TXEC
เหตุการณ์นี้สะท้อนให้เห็นว่า AI Coding Assistant กำลังกลายเป็น Attack Surface ใหม่ ที่องค์กรยังไม่ได้เตรียมรับมือ Development Team ที่ใช้ AI ช่วยเขียนโค้ดทุกวันอาจไม่ทราบว่ากำลังรับความเสี่ยงใหม่เข้ามาทุกครั้งที่ทำตามคำแนะนำโดยไม่ตรวจสอบ
ปัญหาที่ซับซ้อนกว่านั้นคือ นักวิจัยยืนยันว่า ยังไม่มีวิธีแก้ที่ชัดเจนในระดับ AI Model เนื่องจาก Hallucination เป็นข้อจำกัดพื้นฐานของ LLM ไม่ใช่ Bug ที่แพทช์ได้ องค์กรจึงต้องพึ่งพา กระบวนการและเครื่องมือรอบด้าน มากกว่าการรอให้ AI แก้ปัญหาตัวเอง
Supply Chain Attack ไม่ได้เป็นปัญหาของ Developer เพียงอย่างเดียว แต่เป็นความเสี่ยงระดับองค์กร เพราะเครื่องของ Developer มักเป็นประตูสู่ระบบสำคัญทั้งหมด รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: The Hacker News, AI Chat Daily, Snyk, Aikido Security, Trend AI Security ]