据Ars Technica于2026年8月27日报道，以色列一家初创公司的研究人员发现，超过100个企业网站上的llms.txt和llms-full.txt文件中包含指向未注册软件包或域名的安装命令，导致Claude、Codex和Hermes等AI代理在访问这些文件时自动执行恶意代码。至少有几十家Fortune 500公司已被证实执行了概念验证（PoC）代码，其中一个真实案例clerk.com已沦为活体恶意软件的投递入口。这项研究揭示了AI时代数据与代码边界的彻底瓦解，以及企业供应链安全面临的空前挑战。
花边爆料漏洞根源：llms.txt文件成为执行表面
llms.txt是新兴的网站标准，旨在为AI代理提供机器可读的站点摘要和结构。研究人员扫描了6214个活跃域名，发现8265个llms.txt或llms-full.txt文件，其中120个文件（分布在120个不同站点）包含227条指向未注册PyPI、npm包或未注册域名的安装命令。当一个AI代理被授予运行shell命令的权限时，它会将这些文件视为权威安装文档，直接执行pip install或npm install指令。研究人员注册了部分未认领的包名，并在Fortune 500公司内部部署了信标；一小时内，一台Fortune 500的服务器回拨了信标，后续又有数十台机器响应。
明星趣闻研究人员的真实测试：Fortune 500内部代码执行
Alon Hertz（研究员之一）在采访中表示：“信任模型已经崩溃。AI代理将供应商文档视为真理，并且不质疑它们——监督它们的人类也不质疑。”研究人员注册了少量未认领的包名，并托管了无恶意但会向研究服务器上报的数据包。结果，Claude、OpenAI的Codex以及Nous Research的Hermes等编码代理在40多个公司内网执行了这些包。香农·迈克尔（Shannon Michael）补充说：“代理无法区分页面和命令。它读到的所有内容都是输入，每个输入都是潜在指令。”这些信标记录下了父进程链，最终指向了这些AI代理的名称。
明星糗事真实攻击案例：Clerk.com上的恶意软件
研究人员在合法网站clerk.com上发现了一个llms.txt文件，其中包含指令：“npx clerk-next-fix-auth-protection”。与常规安装命令不同，npx会从npm缓存中获取包并执行其暴露的二进制文件，而不将包添加到依赖清单。研究人员随后发现，有人已经注册了这个原本空置的npm包名，并植入了真实恶意软件。Clerk公司已解决该问题，但不确定是否已造成实际感染。Clerk指出，如果代理已安装@clerk/eslint-plugin包则无威胁；否则恶意包会被执行。
明星秘闻| 漏洞类型 | 示例指令 | 涉及的包管理器/注册表 | 受影响AI代理 | 实际感染案例 |
|---|
| --- | --- | --- | --- | --- |
|---|
| 指向未注册PyPI包 | pip install [redacted] | PyPI | Claude, Codex | 研究PoC已执行 |
|---|
| 指向未注册npm包 | npm install [redacted] | npm | Hermes, Codex | 研究PoC已执行 |
|---|
| 指向未注册域名 | 文档链接到expired domain | 无 | 所有代理 | 无 |
|---|
| 利用npx即时执行 | npx clerk-next-fix-auth-protection | npm | Codex, Claude | clerk.com真实恶意软件 |
|---|
数据与代码的界限消失：提示注入的扩展
研究人员在Medium文章中指出：“安全控制可能无法捕获这一点，因为系统依赖的每个信号都指向错误的方向。”当AI代理遇到llms.txt时，它看到的是通过HTTPS提供、在官方公司域名上、采用标准化格式、由公司或受信任合作伙伴发布的文件。代理没有理由质疑它。文件本身就是权威——这就是它的全部目的。当文件说“pip install internal-tool”时，代理不会停下来检查internal-tool是否真的属于公司。它不会验证PyPI上的命名空间。它不会注意到文档链接指向三个月前过期的域名。它只是按规定执行。这种信任链还是可传递的：llms.txt不一定位于Fortune 500自己的网站上，代理还会从受信任的第三方（合作伙伴文档、供应商SDK参考、社区项目设置指南）获取上下文。
攻击面扩大：不只是llms.txt
Alon Hertz进一步解释：“在提示注入中，有人故意植入恶意指令。但这里，指令本身可能完全良性，来自合法来源——真实公司的自身文档——编写时没有恶意行为者参与。危险后续出现，当它指向的包或域名被放弃，别人就认领了它。”这意味着问题远不止llms.txt和llms-full.txt文件。指令（显式或隐式）几乎存在于代理遍历的每个地方。结合大型科技公司急于将AI部署到各处的现状，安全人员（或替代他们的AI代理）将陷入无休止的忙碌。
FAQ
Q1: 企业如何防范这种liability？
A1: 企业应立即审计自己网站上的llms.txt和llms-full.txt文件，确保所有安装指令指向的包名和域名确实属于公司或已被认领。同时，限制AI代理执行shell命令的权限，或使用沙盒运行。安全团队应监控内部对PyPI和npm的访问异常。
Q2: 这是否属于提示注入？
A2: 不是典型的提示注入。提示注入需要攻击者主动植入恶意指令；而此处漏洞源于文档本身包含无害但指向未注册资源的指令，随后被第三方劫持。根本原因是AI代理无法区分数据和可执行代码，比提示注入更广泛。
总而言之，AI代理供应链安全已出现全新攻击面。llms.txt文件本意是帮助AI理解网站，却无意中成为执行通道。微软、Meta等巨头需尽快修订代理权限模型，否则类似clerk.com的恶意软件投递事件将成常态。
