Nach Darstellung des Beitrags liegt der gemeinsame Kern aller drei Angriffsmuster darin, dass ein Agent einem Namen vertraut, den ein Modell erzeugt hat, ohne zu prüfen, ob dieser Name von irgendjemand verifiziert und validiert wurde. Shane Warden von ActiveState fasst den Unterschied so zusammen: Slopsquatting missbraucht einen gefälschten Paketnamen, Phantom Squatting eine gefälschte Domain und HalluSquatting ein gefälschtes Repository oder einen gefälschten Skill. In jedem Fall werde ein nicht überprüfter Bezeichner zur Grundlage weiterer Aktionen.

Die Arbeit von Forschenden der Tel Aviv University, des Technion und von Intuit soll belegen, dass diese Bezeichner vorhersagbar sind. Das Team um Aya Spira aus der Gruppe von Ben Nassi testete mehrere Eingaben über Cursor, Windsurf, GitHub Copilot, Cline, Gemini CLI und OpenClaw. Laut dem Beitrag halluzinierten die Modelle bei Repository-Anfragen in bis zu 85 Prozent der Fälle dieselben Namen; bei Skill-Installationen lag die Übereinstimmung bei 100 Prozent. Daraus leiten die Forschenden ab, dass sich Angriffe im großen Maßstab vorbereiten lassen, indem Angreifer solche Namen vorab registrieren und mit schädlichen Anweisungen versehen.

Der Text verweist auf drei Beobachtungen aus sechs Monaten. Im Januar 2026 entdeckte Charlie Eriksen von Aikido Security, dass KI-Agenten in 237 Projekten versuchten, ein gefälschtes npm-Paket namens react-codeshift zu installieren; er registrierte den Namen, damit Angreifer ihn nicht übernehmen konnten. Im Juni 2026 fand Unit 42 von Palo Alto Networks 250.000 Domains, die Sprachmodelle halluzinieren. Im Juli 2026 zeigte das Forschungsteam von Spira, wie Angreifer KI-Agenten übernehmen können, indem sie vorhersagbare Namen im Voraus beanspruchen.

Als technische Ursache nennt der Beitrag zwei miteinander verknüpfte Probleme. Erstens erzeugen Sprachmodelle ihre Ausgaben probabilistisch. Sie arbeiten nicht deterministisch, liefern aber laut der zitierten Arbeit hinreichend vorhersagbare Ergebnisse, um Angriffsvektoren zu erzeugen. Zweitens bauen Entwickler Code und Pipelines, die Befehle anhand dieser generierten Ausgaben ausführen. Wenn Quellcode oder Daten erst nach dem Abruf geprüft werden, entsteht die sicherheitskritische Lücke zwischen Texterzeugung und Codeausführung.

Der Beitrag warnt zudem davor, nur auf sichtbare oder oberste Abhängigkeiten zu achten. Ein Agent könne auch ein echtes Paket mit echtem Namen auswählen, während tieferliegende transitive Abhängigkeiten oft nicht mit derselben Sorgfalt geprüft würden. Wird eine tiefe Abhängigkeit kompromittiert, kann eine automatisierte Pipeline diese Kompromittierung in eigene Systeme übernehmen.

Auch bestehende Schutzmechanismen bewertet der Text als unzureichend. Trail of Bits habe im Juni 2026 Scanner für Skill-Stores in weniger als einer Stunde umgangen. Diese Scanner prüften demnach deklarierte Inhalte, nicht verborgene Schadfunktionen. Auch SSL-Zertifikate und DNSSEC stoppten das Problem nicht: Ein kostenloses Let’s-Encrypt-Zertifikat belege nur die Kontrolle über eine Domain, nicht deren Vertrauenswürdigkeit oder ob Nutzer sie überhaupt erreichen wollten. DNSSEC verhindere die Übernahme einer Domain, nicht aber deren missbräuchliche Neuregistrierung.

Als Gegenmaßnahme empfiehlt der Beitrag eine Verifikation vor dem Abruf statt einer bloßen Prüfung im Moment des Downloads. Open-Source-Abhängigkeiten sollten über einen kontrollierten, vorab geprüften Katalog aufgelöst werden, nicht direkt aus öffentlichen Registries. Außerdem solle die Vorabprüfung dort aktiviert werden, wo Agenten-Frameworks sie bereitstellen; laut Beitrag ist sie in den meisten Frameworks standardmäßig deaktiviert. Entscheidend sei nicht die Korrektur einzelner Werkzeuge, sondern die Beseitigung des zugrunde liegenden Designfehlers.