Una ricerca ha rivelato che agenti AI come Claude, Codex e Hermes possono installare codice non autorizzato nelle reti aziendali, sfruttando file llms.txt mal configurati e creando nuovi rischi per la sicurezza informatica delle imprese.
Un recente studio ha evidenziato come agenti AI per la programmazione, tra cui Claude, Codex e Hermes, abbiano installato codice non autorizzato all'interno di reti aziendali, eseguendo istruzioni presenti in file llms.txt e llms-full.txt mal configurati. Questi file, pensati per fornire agli agenti AI una panoramica strutturata dei contenuti di un sito, sono diventati un nuovo vettore di rischio informatico.
I ricercatori di una startup israeliana hanno analizzato oltre 6.200 domini appartenenti a grandi aziende, tra cui contractor della difesa e società Fortune 500. Su 8.265 file llms.txt e llms-full.txt individuati, 120 facevano riferimento a pacchetti di codice o domini non registrati. Registrando alcuni di questi nomi, i ricercatori hanno ospitato pacchetti che, una volta eseguiti dagli agenti AI, inviavano una segnalazione ai loro server. In meno di un'ora, hanno ricevuto risposte da una società Fortune 500, seguite da altre decine di aziende, sia grandi che startup. L'analisi dei processi ha confermato il coinvolgimento di agenti come Claude, OpenAI Codex e Hermes di Nous Research.
Come funziona la vulnerabilità nei file llms.txt
I file incriminati spesso contengono istruzioni per installare pacchetti da PyPI, npm o altri repository, ma i nomi indicati non sono registrati. Un esempio tipico: "Installation: pip install [nome pacchetto non registrato]". Un attaccante può quindi registrare il nome e caricare un pacchetto malevolo, che verrà installato automaticamente dagli agenti AI che interpretano il file come documentazione ufficiale. In altri casi, i file rimandano a domini non esistenti, che possono essere registrati da terzi per ospitare istruzioni dannose.
La vulnerabilità si manifesta quando un agente AI, autorizzato a eseguire comandi shell, tratta il file come fonte autorevole e installa il pacchetto indicato senza ulteriori verifiche. Questo comportamento è stato riscontrato anche in aziende di primo piano, dove gli agenti AI sono integrati nei flussi di lavoro di sviluppo software.
Un attacco reale e i limiti degli attuali controlli di sicurezza
Il rischio non è solo teorico: i ricercatori hanno scoperto un caso concreto sul sito clerk.com, dove un file llms.txt suggeriva l'installazione di un pacchetto tramite il comando "npx clerk-next-fix-auth-protection". Un attore malevolo ha registrato il pacchetto e vi ha caricato malware attivo, sfruttando il fatto che npx può eseguire codice senza aggiungerlo alle dipendenze del progetto. Clerk ha risolto il problema, ma resta il dubbio su eventuali infezioni avvenute prima dell'intervento.
Secondo i ricercatori, il problema nasce dal fatto che gli agenti AI non distinguono tra dati e istruzioni: ogni contenuto letto può essere interpretato come comando, soprattutto se presentato in un formato standard e servito da un dominio ufficiale. I controlli di sicurezza tradizionali, come EDR e proxy aziendali, non rilevano queste attività perché sembrano normali operazioni di sviluppo.
Origine degli errori e implicazioni per la supply chain
Le 120 configurazioni errate individuate contenevano 227 comandi per installare pacchetti inesistenti o visitare domini non reclamati. In molti casi, queste istruzioni erano presenti nei siti già prima dell'era AI, inserite manualmente da sviluppatori o generate da AI che non distinguevano tra fonti legittime e non. Il rischio si estende oltre i file llms.txt: ogni punto di interazione tra agenti AI e documentazione tecnica può diventare una superficie di attacco.
Il caso mette in luce la crescente difficoltà di tracciare il confine tra dati e codice eseguibile nell'era dell'AI. La fiducia transita tra domini e partner, e un errore in un file di terze parti può propagarsi fino alle infrastrutture di aziende leader. La vulnerabilità, simile ma più ampia rispetto alle prompt injection, richiede nuove strategie di difesa e maggiore attenzione nella gestione della documentazione tecnica accessibile agli agenti AI.
