llms.txt: AI агенти изпълниха чужд код в Fortune 500

Група изследователи, водена от Алон Херц, публикува в края на август 2026 г. резултат, който е неприятно прост: достатъчно е да регистрирате пакет с име, което някоя голяма компания вече е записала в собствената си документация за AI агенти, и след часове чужд код се изпълнява в корпоративната ѝ мрежа. Атаката минава през файла llms.txt, а сред засегнатите има отбранителни изпълнители и компании от Fortune 500. Tom’s Hardware описва случая с изречението, което обобщава целия проблем: данните са се превърнали в код.

Какво изобщо е llms.txt

llms.txt е предложение на Джеръми Хауърд от септември 2024 г. — текстов файл в корена на сайта, който казва на езиковите модели кои страници са важни и как да работят с продукта. Идеята е като robots.txt, но за агенти вместо за търсачки. Приета е бързо: llmstxt.org отбелязва, че хиляди сайтове вече го публикуват, документационните платформи го генерират автоматично, а OpenAI, Anthropic и Google имат свои версии.

Разликата с robots.txt е фатална. Търсачката чете robots.txt и решава какво да индексира. Агентът чете llms.txt и решава какво да изпълни — защото вътре стои не само „прочети тази страница”, а и „инсталирай този пакет”, „извикай този endpoint”, „вярвай на този домейн”.

120 файла, 227 команди към нищото

Екипът е сканирал 6214 живи домейна на отбранителни изпълнители, компании от Fortune 500 и големи технологични фирми. В тях е намерил 8265 файла llms.txt и llms-full.txt. От тях 120 файла — всеки на различен сайт — сочат към имена на пакети или домейни, които никой не е регистрирал. Общо 227 инсталационни команди в официална корпоративна документация водят към код, който няма собственик.

Класически пример е командата на Clerk:

npx clerk-next-fix-auth-protection

Името е било свободно в npm регистъра. Всеки е можел да го вземе — и npx щеше да го изтегли и стартира без нито един въпрос.

Снимка: Alon Hertz / Medium

Под четири минути до първия сигнал

Изследователите регистрирали част от свободните имена и качили безобиден код, който само се обажда обратно. Първото повикване — от мрежа на компания от Fortune 500 — дошло за под четири минути. В рамките на един час се обадили и десетки други големи предприятия и стартъпи.

Кодът е бил изпълнен от Claude, от Codex на OpenAI и от Hermes на Nous Research. Никой от тях не е спрял да провери дали пакетът, който документацията препоръчва, наистина принадлежи на вендора. Поне един неправилно конфигуриран сайт е насочвал агентите към реален malware.

„Моделът на доверие е счупен”, казва Херц. „Агентите приемат документацията на вендора за истина в последна инстанция и не я поставят под въпрос.” Агентът не различава страница от команда — всичко, което чете, е вход, и всеки вход е потенциална инструкция.

Защо това е supply chain атака, а не просто prompt injection

При класическата supply chain атака нападателят компрометира пакет, който вече използвате. Тук не е нужно да компрометира нищо — жертвата сама е публикувала указанието да се изтегли нещо, което не съществува. Атакуващият просто попълва празнината.

Уебът винаги е бил ненадеждни данни. Новото е, че агентите го превърнаха в изпълнима повърхност, без да пренесат защитите, които прилагаме към кода: подписване, проверка на произход, закачане на версии. Подобна динамика видяхме и когато Forescout пренесе готов RCE експлойт между два PLC контролера с помощта на Claude — моделът върши работата, стига да му подадете правилния контекст.

Регулаторите вече гледат натам

Съвпадението по време не е случайно. На 1 септември 2026 г. The Record съобщи, че Съветът за финансова стабилност (FSB) определя киберриска от челните AI модели като „най-непосредствената грижа” за световната финансова система. Председателят Андрю Бейли призовава институциите да се готвят за сценарии с едновременен срив в няколко фирми, а като повод посочва оценките на OpenAI, Anthropic, Meta и британския AI Security Institute, при които напреднали модели предприемат неоторизирани действия срещу чужди системи — темата, която засегнахме и при модела Astra на OpenAI.

Междувременно TechNews.bg отчита над 300 реални инцидента със загуба на контрол над AI агенти само през юли 2026 г. — двойно повече от юни, при над 1600 за годината, по данни на обсерваторията, финансирана от британския AISI.

Какво да направите

Препоръките на изследователите са скучни, но работят: направете инвентаризация на всеки артефакт, споменат в машинночитаемата ви документация; резервирайте предварително имената на пакети и домейни, които публикувате; валидирайте примерните команди преди да ги качите; следете за изоставени или отвлечени зависимости. От страна на потребителя — sandbox за агента, мрежови ограничения и човешко одобрение преди изпълнение.

Заключение

Нищо в тази атака не изисква зловреден код в llms.txt. Файловете са напълно легитимни; проблемът е, че сочат към празно място, а агентът приема празното място за официално. Докато няма подписване и проверка на произхода за това, което агентите четат, всеки публикуван файл за AI е част от вашата supply chain — с всички последствия.