AIエージェントがllms.txtを悪用し未登録コードを実行、複数企業で確認

調査の内容

研究者は防衛関連企業やフォーチュン500、大手テクノロジー企業のドメイン6,214件を調査しました。その結果、llms.txtとllms-full.txtのファイルが8,265件見つかり、うち120件が未登録のパッケージ名やドメインを参照していました。攻撃の再現実験として、研究者が未登録名の一部を登録して受け取るサーバーを用意したところ、1時間以内にフォーチュン500企業からの応答があり、その後数十件の企業から反応がありました。

この応答には、実行された親プロセス情報が含まれており、ClaudeやOpenAIのCodex、Nous ResearchのHermesといったコーディングエージェントが関与していたことが分かりました。研究者は「エージェントはページとコマンドを区別しない」と指摘しています。

なぜ実行されるのか

llms.txtは、ウェブサイトの内容や構造をAIエージェント向けに要約したファイルで、robots.txtのAI版とも言えます。通常の設定では、サイトの説明や関連リンクが含まれますが、誤設定の場合、パッケージのインストールコマンドがそのまま記載されることがあります。研究者は、pipやnpmなどの未登録パッケージを参照した例を120件発見しました。

AIエージェントは、このファイルを権威ある情報源として扱います。HTTPSで配信され、企業の公式ドメイン上にあるため、内容を疑う理由がないのです。そのため、ファイルに「pip install internal-tool」と書かれていれば、そのまま実行します。エージェントはページとコマンドを区別できないという根本的な問題があり、これがプロンプトインジェクションの拡張とも言える原因です。

実在する攻撃例

研究者は、Clerk.comのllms.txtファイルに「npx clerk-next-fix-auth-protection」というコマンドが含まれているのを発見しました。これは、未登録のパッケージをnpmから取得して実行するコマンドで、攻撃者が先にその名前を登録し、マルウェアを配布していました。npxは依存関係として記録せずに実行するため、通常の監視では検出しにくいと言えます。

Clerk社は問題を解決し、このパッケージをインストールしていなければ影響はないと説明しました。ただし、実際に感染したかどうかは不明です。研究者は、この事例はドキュメントとコードの境界が消えつつあることを示す典型例だと述べています。

残る課題と対策

研究者は、この問題はllms.txtに限らないと指摘します。エージェントが参照するあらゆるドキュメントが実行表面になり得ます。また、既存のEDRやプロキシは、開発者が正規のパッケージマネージャーを使っているように見えるため、検知できない可能性があります。

対策としては、AIエージェントが実行するコマンドを制限するガードレールが必要ですが、現時点で確立された方法はありません。記事では、企業が自社のllms.txtを監査し、未登録のパッケージやドメインを参照していないか確認することが重要だと示唆されています。