AI-kódolóeszközök veszélyes csomagokat telepíthetnek véletlen

Izraeli kutatók 6214 vállalati domain vizsgálata során 120 olyan llms.txt és llms-full.txt fájlt találtak, amelyek nem létező szoftvercsomagokra vagy nem regisztrált doménekre hivatkoznak. Az AI-ágensek ezeket a fájlokat hiteles vállalati dokumentációként kezelik, és automatikusan megpróbálják telepíteni az utasított csomagokat – így támadók könnyedén regisztrálhatják az üres helyeket és rosszindulatú kódot helyezhetnek el.

A kutatók bizonyítékként regisztráltak néhány nem létező csomagot, és egy órán belül Fortune 500-as cégektől kaptak visszajelzéseket, amelyek az AI-ágensek által automatikusan aktiválódtak. Az Anthropic Claude, az OpenAI Codex és a Nous Research Hermes modelljei is részt vett a kódletöltésekben. A felfedezés szerint legalább egy valós támadás már kihasználja ezt a sebezhetőséget – a Clerk.com oldalán talált llms.txt fájl egy élő rosszindulatú csomagra irányított.

A probléma gyökere, hogy az AI-modellek nem tudnak megbízható határt húzni a felhasználó által közvetlenül adott utasítások és a harmadik féltől származó, nem megbízható forrásokból lekért tartalom között. Az llms.txt fájlok az AI-ágensek számára egy új támadási felület, amely szinte semmilyen integritásvédelmet nem tartalmaz. A kutatók szerint a 120 hibás fájl 227 nem létező csomag telepítésére vagy nem regisztrált doménekre vonatkozó parancsot tartalmazott.

A felfedezés rávilágít az AI-ágensek alapvető biztonsági korlátaira: mivel a modellek nem tudnak megkülönböztetni a legitim és illegitim utasításokat, az interneten közzétett összes adat potenciális kódvégrehajtási felületté vált. Az Anthropic, az OpenAI és a Nous Research nem nyilatkozott az üggyel kapcsolatban.