AI 代理会从存在漏洞的企业 llms.txt 文件中执行未注册代码

以色列一家以隐身模式运营的初创公司的研究人员发现，包括 Claude、OpenAI 的 Codex 和 Nous Research 的 Hermes 在内的 AI 代理，会自动执行托管在企业网络上的 llms.txt 文件中所引用的未被认领代码包。研究人员在财富 500 强企业和国防承包商的网络中发现了 120 个引用未被认领代码包的风险文件，并在注册这些代码包后的一小时内收到受影响组织的回连响应。这一漏洞源于 llms.txt 和 llms-full.txt 文件——这是一种新兴约定，用于向 AI 代理提供机器可读的网站摘要，其作用类似于 robots.txt 指导搜索引擎抓取网站内容。研究人员还发现，至少有一个配置错误的网站将访问者引导至正在运行的恶意软件。

llms.txt 和 llms-full.txt 文件相当于面向 AI 的 robots.txt 标准，用于指导搜索引擎如何索引网站内容。谷歌 Lighthouse 将这类文件描述为帮助 Web 开发者提供网站内容及其高层结构的机器可读摘要的工具。Cloudflare 托管了这两种文件类型的正确配置示例。

研究人员扫描了 6,214 个企业域名以查找风险文件

研究人员扫描了属于国防承包商、财富 500 强企业和大型科技公司的 6,214 个活跃域名。他们发现了 8,265 个 llms.txt 和 llms-full.txt 文件，其中许多网站同时托管这两种文件。在这些文件中，有 120 个文件指向一个或多个尚未注册的代码包或域名，这些文件分布在不同的网站上。

为了测试这一漏洞，研究人员注册了少量未被认领的名称，并托管了代码包。这些代码包被设计为在任何机器上执行时联系其服务器，同时记录启动每次安装的父进程链。

AI 代理执行了来自未注册代码包的概念验证代码

在注册未被认领的代码包后一小时内，研究人员收到了来自一家财富 500 强企业的回连响应。随后，他们又陆续收到来自其他财富 500 强企业和初创公司的数十条响应。记录的进程链显示，Claude、OpenAI 的 Codex 和 Nous Research 的 Hermes 等 AI 编程代理参与了代码执行。

截至发布时，Anthropic、OpenAI 和 Nous Research 均未回应置评请求。100 多个网站上的文档文件引用了具有潜在危险的可执行内容，而许多 AI 代理访问这些网站时会自动安装这些内容。

常见问题

什么是 llms.txt 文件，AI 代理如何使用它们？

llms.txt 和 llms-full.txt 文件是一种新兴约定，网站使用它们向 AI 代理提供网站内容和结构的机器可读摘要。这些文件相当于面向 AI 的 robots.txt 文件，用于指导搜索引擎索引网站内容。谷歌 Lighthouse 提供了帮助 Web 开发者正确实现这类文件的工具。

本研究中哪些 AI 代理执行了未注册代码？

研究人员的信标记录显示，Claude、OpenAI 的 Codex 和 Nous Research 的 Hermes 参与了概念验证代码的执行。记录的父进程链显示，这些 AI 编程代理在处理企业网站时，会自动安装风险 llms.txt 文件中引用的代码包。