Arquivos llms.txt maliciosos levam Claude, Codex e Hermes a instalar codigo nao verificado em redes corporativas
Pesquisadores identificaram mais de 100 sites cuja documentacao em llms.txt e llms-full.txt -- a convencao emergente que resume conteudo de sites para agentes de IA, analoga ao robots.txt -- contem conteudo executavel malicioso instalado automaticamente quando agentes como Claude, Codex e Hermes visitam essas paginas. Dezenas de empresas, algumas Fortune 500, chegaram a executar codigo de prova de conceito, e pelo menos um site mal configurado direciona diretamente para malware ativo.
O problema tem origem em uma convencao ainda nova e sem verificacao de integridade: llms.txt e llms-full.txt sao arquivos que sites publicam para dar a agentes de IA um resumo estruturado, legivel por maquina, do proprio conteudo -- pensados como o equivalente do robots.txt para a era dos agentes. A diferenca critica e que, enquanto o robots.txt e apenas uma diretiva de indexacao interpretada por crawlers que nao executam codigo, agentes de IA como Claude, Codex e Hermes tratam o conteudo desses arquivos como parte do contexto que orienta suas proprias acoes -- incluindo, em alguns casos, instrucoes que levam a instalacao ou execucao automatica de codigo.
O mecanismo de exploracao e conceitualmente simples e por isso mesmo preocupante: como descrito pelos pesquisadores, 'um agente nao distingue entre uma pagina e um comando' -- tudo que ele le e potencialmente uma instrucao, e nada nesses arquivos de documentacao carrega as garantias de integridade que se aplicam a codigo de verdade (assinatura, revisao, controle de versao auditavel). Um site controlado por um atacante, ou um site legitimo comprometido, pode portanto publicar um llms.txt que instrui qualquer agente que o leia a baixar e executar um payload, sem que exista qualquer fase de aprovacao humana no meio do caminho -- o agente trata a documentacao do vendor como fonte confiavel por padrao, e o humano supervisionando tambem.
O impacto documentado ja e concreto, nao apenas teorico: dezenas de organizacoes, incluindo multiplas Fortune 500, executaram codigo de prova de conceito ao terem seus agentes de IA processando esses arquivos, e pelo menos um site mal configurado (nao necessariamente malicioso por intencao, mas com controle de acesso falho) redireciona qualquer visitante -- humano ou agente -- para malware ativo em producao. Isso caracteriza uma nova classe de superficie de ataque de cadeia de suprimentos: a documentacao publicada por fornecedores de software, historicamente considerada dado passivo e de baixo risco, virou superficie de execucao a medida que agentes autonomos passam a consumi-la como insumo operacional.
O caso e relevante porque expõe uma falha de modelo de confianca estrutural, nao um bug pontual corrigivel com um patch: enquanto agentes continuarem sem separacao clara entre canal de dados e canal de instrucao ao processar conteudo de terceiros, qualquer convencao nova de metadados para IA (llms.txt e apenas o exemplo atual) tende a repetir o mesmo padrao de exploracao por injecao indireta ja visto em outros contextos de agentes com acesso a ferramentas -- reforcando que controles de execucao (sandboxing, aprovacao humana para acoes irreversiveis, verificacao de origem de conteudo) precisam existir no nivel do agente, independentemente de qual formato de arquivo especifico esta sendo abusado.