Phantom Squatting: Como alucinações de IA estão criando novos riscos na cadeia de suprimentos

O Phantom Squatting não é um novo tipo de domínio ou ferramenta, é um padrão de exploração que transforma as alucinações de LLMs em alvos operacionais. A Unit 42 identificou que, ao responder perguntas sobre marcas reais, dois LLMs (um 'mini-class' lançado em abril de 2025 e um 'lite-class' de junho de 2025) geraram 2,1 milhões de URLs fictícias. Dessas, 13.229 já foram registradas por criminosos e apontam para infraestrutura maliciosa. As outras 250 mil são domínios fantasmas ainda não registrados, mas com alto potencial de serem ocupados a qualquer momento, pois seguem padrões linguísticos consistentes entre modelos (cross-model hallucination consensus) e persistem mesmo em configurações de baixa temperatura (THP). Isso significa que o risco não está no acaso: está na previsibilidade da falha.

O ataque opera como uma extensão da cadeia de suprimentos de software, mas com um elo crítico novo: o LLM passa a funcionar como dependência confiável, e vulnerável, dentro de pipelines CI/CD, assistências de código e até agentes autônomos que fazem requisições HTTP sem validação. Diferente do slopsquatting (que ataca nomes de pacotes), o Phantom Squatting ataca a infraestrutura web diretamente, usando a autoridade percebida da IA para entregar phishing, malvertising ou exfiltração de dados sem precisar de e-mail ou link suspeito.

Em fevereiro de 2026, a CEVIU já alertava sobre o 'raio de impacto' das credenciais roubadas alimentando agentes de IA artigo original. Em abril, a vulnerabilidade GrafanaGhost mostrou como URLs manipuladas podem contornar políticas de carregamento em ferramentas com IA embutida. Em junho, o marketplace de skills do OpenClaw revelou que skills maliciosas estavam passando por triagens automatizadas, ou seja, a confiança em processos técnicos de verificação já estava sendo explorada. Agora, com o Phantom Squatting, o salto é claro: não é mais só sobre credenciais ou skills falsas. É sobre a própria saída textual do modelo ser usada como vetor de ataque direto, com registro antecipado de domínios e implantação de kits de phishing em menos de 24 horas após o domínio ser registrado, como no caso do Montana Empire, que foi implantado 23 dias depois da primeira alucinação detectada pela Unit 42.

Empresas que confiam em LLMs para gerar endpoints, documentação ou integrações estão expostas a um bypass estrutural de defesas tradicionais. Filtragem de URL e DNS Security baseadas em reputação falham porque o domínio nasce limpo, sem histórico, sem bloqueio, sem sinais de ameaça. Não há necessidade de enganar o usuário com um e-mail falso: basta que o assistente de código recomende api.payments-secure[.]io, um domínio que nunca existiu, mas que um criminoso já registrou e preparou para capturar tokens de API. Isso coloca a gestão de vulnerabilidades em um novo patamar: agora é preciso monitorar não apenas o que entra no sistema, mas o que sai dele, especialmente URLs geradas por IA.