Как агенты ИИ заражают корпоративные сети через llms.txt

Более 100 веб-сайтов, включая несколько десятков компаний из списка Fortune 500, ссылаются в файлах документации на потенциально опасный исполняемый контент, который автоматически устанавливается при посещении агентами ИИ. Исследователи, сканировавшие 6214 доменов и нашедшие 8265 файлов llms.txt и llms-full.txt, подтвердили, что по крайней мере один неправильно сконфигурированный сайт направляет посетителей на живое вредоносное ПО.

Потенциально опасный контент находится в файлах llms.txt и llms-full.txt, которые новые веб-сайты используют для предоставления машиночитаемых резюме контента сайта и его структуры высокого уровня. Эти файлы являются ИИ-эквивалентом стандарта robots.txt, который инструктирует поисковые системы, как индексировать контент сайта. Google Lighthouse, инструмент для помощи веб-разработчикам, имеет больше возможностей. Правильно настроенные файлы llms.txt и llms-full.txt для Cloudflare находятся здесь и здесь.

Как исследователи нашли его?

Исследователи сканировали 6214 доменов, принадлежащих оборонным подрядчикам, Fortune 500 и компаниям Big Tech. Из 8 265 файлов llms.txt и llms-full.txt, которые они нашли (многие сайты размещали как файл llms.txt, так и файл llms-full.txt), 120 из них, каждый на другом сайте, указывали на один или несколько пакетов кода или доменных имен, которые не были зарегистрированы. Чтобы проверить, что происходит, когда агент ИИ обрабатывает такие файлы, исследователи зарегистрировали несколько невостребованных имен и размещали пакеты, которые заставляли любую машину, выполняющую их, обращаться к своему серверу. В течение часа исследователи получили ответ по телефону от компании из списка Fortune 500. Со временем они получили еще несколько десятков, некоторые из более компаний из списка Fortune 500, а другие от стартапов. Их маяк также записал цепочку родительских процессов, которые породили каждую установку, что в конечном итоге показало, что были задействованы кодирующие агенты, включая Клода, Кодекс OpenAI и Гермес Nous Research. Anthropic, OpenAI и Nous Research не ответили на запросы о комментариях к моменту публикации.

«Модель доверия сломана, — написал в интервью один из исследователей Алон Герц. — Агенты рассматривают документы поставщиков как истину и не подвергают их сомнению — и люди не контролируют их». Использование агентного ИИ взрывается, и агенты распространяются по каждому слою — SaaS, облаку, конечной точке. По мере того, как они умножаются, увеличивается и поверхность цепочки поставок, и сегодняшние охранники не покрывают ее».

Вопросы и ответы

Что такое файлы llms.txt и llms-full.txt?

Это машиночитаемые резюме контента сайта и его структуры, используемые новыми веб-сайтами. Они служат ИИ-эквивалентом стандарта robots.txt, который инструктирует поисковые системы, как индексировать сайт, но для агентов ИИ.

Как исследователи проверили опасность этих файлов?

Они зарегистрировали невостребованные доменные имена и разместили пакеты, заставляющие обращаться к их серверу. В течение часа получили ответ от компании Fortune 500, а затем еще несколько десятков, включая стартапы.

Какие агенты ИИ были задействованы в установках?

Цепочки родительских процессов показали участие кодирующих агентов: Клода, Кодекса OpenAI и Гермеса Nous Research. Эти компании не ответили на запросы о комментариях к моменту публикации.