Ошибки в llms.txt заставили coding-агентов устанавливать чужие пакеты

Файлы llms.txt и llms-full.txt — формирующаяся договорённость, с помощью которой сайты предлагают моделям машиночитаемое описание контента и структуры. По замыслу это своего рода аналог robots.txt для AI, но содержимое может включать не только навигационные подсказки, а команды установки зависимостей. Опасность возникает, когда агент с правом выполнять shell-команды считает текст на сайте доверенной технической документацией и исполняет приведённую в ней инструкцию без дополнительной проверки.

Исследователи из израильского stealth-стартапа проверили 6 214 действующих доменов оборонных подрядчиков, компаний из Fortune 500 и крупных технологических организаций. Они нашли 8 265 файлов llms.txt и llms-full.txt; на 120 разных сайтах присутствовали ссылки хотя бы на один незарегистрированный пакет или домен. Среди примеров были прямые команды вида pip install и npm install с именами, которых ещё не существовало в соответствующих реестрах.

Свободное имя создаёт классическую возможность для атаки на цепочку поставок: злоумышленник регистрирует упомянутый пакет и размещает под ним вымогатель, загрузчик или другой исполняемый код. Чтобы проверить реальное поведение агентов без вреда, исследователи заняли несколько таких имён и опубликовали пакеты-маяки, которые лишь связывались с их сервером. Уже в течение часа пришёл сигнал из компании Fortune 500, позднее — ещё несколько десятков откликов от крупных корпораций и стартапов.

Записанная маяками цепочка родительских процессов показала участие Claude, OpenAI Codex и Hermes от Nous Research. То есть установки выполняли именно coding-агенты, работавшие внутри организаций, а не только люди, вручную копировавшие команды. Anthropic, OpenAI и Nous Research не ответили на запросы к моменту публикации исходного расследования. Эксперимент демонстрирует разрыв в модели доверия: агент воспринимает документацию поставщика как достоверную, а оператор может не перепроверять действие, предложенное системой.

Угроза оказалась не только экспериментальной. В llms-файле на легитимном сайте Clerk исследователи нашли команду npx clerk-next-fix-auth-protection. npx способен получить пакет в кэш npm и сразу выполнить опубликованный бинарный файл, не добавляя зависимость в манифест проекта. Свободное ранее имя уже занял неизвестный и разместил под ним действующее вредоносное ПО; Clerk впоследствии устранила проблему. Отдельный вариант атаки использует незарегистрированные домены: захватив указанный в документации адрес, атакующий может разместить там новые вредоносные инструкции для агента.