Estudo avalia segurança de arquivos llms.txt usados por mecanismos de busca com IA e encontra baixa adoção, mas risco real de injeção
Um estudo aceito no IEEE FLLM 2026 avalia o /llms.txt, manifesto que sites podem publicar para orientar como modelos de IA devem consumir seu conteúdo, separando efeitos de publicação, busca, uso pelo modelo e ação subsequente. Uma auditoria de logs reais mostrou que 97% dos domínios com arquivo /llms.txt detectado não registraram nenhuma requisição a esse arquivo em maio de 2026, mas um piloto controlado com 120 respostas reais de modelos encontrou adoção do conteúdo malicioso injetado pelo atacante em 21 de 24 respostas adversariais testadas, evidenciando que o canal funciona como vetor de injeção quando efetivamente consultado, mesmo com adoção real ainda baixa no momento da pesquisa.
O /llms.txt foi proposto como um manifesto análogo ao robots.txt, mas voltado a orientar sistemas de IA — em vez de crawlers tradicionais — sobre como interpretar e usar o conteúdo de um site. O problema que o estudo ataca é que a literatura existente sobre esse manifesto mistura, sem distinguir claramente, quatro etapas independentes: se o arquivo foi publicado, se algum sistema efetivamente o buscou, se um modelo de fato usou seu conteúdo na geração de uma resposta, e se essa resposta levou a alguma ação concreta no mundo real (como uma chamada de ferramenta ou recomendação executada). Sem separar essas etapas, é fácil concluir erroneamente que o mecanismo é seguro só porque a adoção observada é baixa.
Metodologicamente, os autores combinam uma auditoria não sistemática de 39 fontes (com atualizações até 14 de outubro de 2026), um estudo de logs de requisições reais e um piloto controlado. O estudo de logs é revelador por si só: em um teste com 15 ferramentas em um único endpoint, nenhuma requisição automática ao /llms.txt foi observada em 45 tentativas, e, numa amostra maior de domínios com o arquivo detectado, 97% não registraram nenhuma requisição em maio de 2026 — ou seja, na prática, a maioria dos sistemas de IA ainda não está sequer buscando esse manifesto, o que por ora limita o risco real de exploração em massa.
O piloto controlado, porém, isola justamente o efeito que interessa para avaliar risco de segurança: com 24 tarefas, oito sites, cinco condições experimentais e 120 respostas reais de modelos, e mantendo fixa a evidência de busca convencional, os autores testam o que acontece quando o manifesto contém conteúdo adversarial direcionado a induzir o modelo a adotar uma recomendação ou ação favorável ao atacante. O resultado é que, sob pontuação automática congelada, 21 das 24 respostas adversariais avaliadas adotaram o alvo definido pelo atacante, contra nenhuma adoção na condição de controle que usava apenas URLs adversariais sem o canal do manifesto — uma diferença expressiva que confirma que, quando o conteúdo do /llms.txt é efetivamente processado pelo modelo, ele funciona como canal de injeção de instruções eficaz, similar em espírito a ataques de prompt injection indireta já documentados contra agentes que navegam na web.
Na prática, a conclusão do estudo é de cautela proporcional: o risco ainda não se materializou em escala porque poucos sistemas consultam o arquivo hoje, mas a arquitetura do mecanismo já demonstra ser explorável no momento em que a adoção crescer — e dado que /llms.txt está sendo ativamente promovido como boa prática para sites quererem ser bem representados por buscadores de IA, há uma janela de oportunidade para que padrões de sanitização e verificação de origem sejam definidos antes que o consumo desse canal se torne comum, em vez de depois que ataques em produção forem documentados.