AI coding агенти могат да изпълнят инструкции към „ничий“ код

Когато документацията се превърне в команда

Все повече сайтове публикуват файлове като `llms.txt` и `llms-full.txt`. Идеята е да дадат на AI системите машинно четимо обобщение на съдържанието, структурата и важните ресурси. Това изглежда безобидно, докато в документа не се появи команда за инсталиране на софтуер.

AI coding агентът може не само да прочете инструкцията. Ако има достъп до терминал, той може да я изпълни, да изтегли пакет и да го включи в проект. Така текстов файл, създаден като помощ за модела, се превръща в част от реална софтуерна верига.

Какъв риск откриват изследователите

При проверка на хиляди корпоративни домейни са открити 227 команди за инсталация, които сочат към пакети или домейни без активен собственик. Това е познат модел при supply-chain атаките: нападателят регистрира свободното име и публикува код, който изглежда като очакваната зависимост.

Ако агентът следва инструкцията автоматично, зловредният пакет може да попадне в корпоративна среда. Особено опасно е, когато агентът има широки права, достъп до тайни, вътрешни хранилища или възможност да стартира код без отделно потвърждение.

Какво тази проверка не доказва

Важно е да не преувеличаваме. Откритието не означава, че Claude, Codex или Hermes масово са заразили компании. То показва, че агенти са изпълнявали или са могли да изпълнят инструкции към ресурси, които никой не контролира в момента на проверката. Това е уязвим модел, а не доказателство за мащабна успешна атака.

Проблемът може да възникне и без злонамерен автор. Една стара, добронамерена команда става опасна, когато пакетът бъде изтрит, домейнът изтече или поддръжката приключи. Месеци по-късно някой друг може да завземе името.

Как компаниите могат да намалят риска

AI агентите трябва да работят с минимални права и в изолирана среда. Инсталациите на нови зависимости е добре да изискват потвърждение, а разрешените пакети да минават през списък за доверие. Заключените версии, проверката на хешове и вътрешните огледални хранилища също намаляват риска.

Самите `llms.txt` файлове трябва да бъдат третирани като кодова конфигурация: с преглед, собственик и периодична проверка на всички външни адреси.

Най-важният урок е прост: „официално изглеждаща документация“ не означава „безопасна команда“. Колкото повече автономия даваме на AI агентите, толкова по-строги трябва да бъдат границите около това какво могат да изтеглят и изпълняват.