كشف باحثون أمنيون عن ثغرة في ملفات llms.txt وllms-full.txt تتيح لمهاجمين تسجيل حزم برمجية أو نطاقات غير مسجلة تشير إليها هذه الملفات، مما يؤدي إلى تنفيذ وكلاء ذكاء اصطناعي مثل Claude وOpenAI Codex وNous Research Hermes لأكواد خبيثة داخل شبكات شركات كبرى، من بينها شركات مدرجة في قائمة Fortune 500. وجاء هذا الكشف بعد تجربة مضبوطة أجراها باحثون في شركة ناشئة تعمل في وضع التخفي.
وتعد ملفات llms.txt وllms-full.txt معياراً ناشئاً تستخدمه المواقع لتزويد وكلاء الذكاء الاصطناعي بملخصات مقروءة آلياً عن محتوى الموقع وبنيته، وهي بمثابة المعادل الذكي لملف robots.txt الذي يوجه محركات البحث. غير أن هذه الملفات، عندما تشير إلى حزم أو نطاقات غير مسجلة، تتحول إلى سطح هجوم قابل للاستغلال.
أجرى الباحثون مسحاً شمل 6,214 نطاقاً حياً تابعاً لشركات دفاعية وشركات تقنية كبرى وشركات مدرجة في Fortune 500. وعثروا على 8,265 ملفاً من نوع llms.txt وllms-full.txt، وتبين أن 120 ملفاً منها، كلٌّ على موقع مختلف، يشير إلى حزم برمجية أو أسماء نطاقات غير مسجلة. وذكرت منصة CyberPress أن عدد الحالات بلغ أكثر من 237 حالة، وقد يعود الاختلاف إلى طريقة عد الملفات مقابل الإشارات الفردية داخلها.
ولاختبار ما يحدث عندما يعالج وكيل ذكاء اصطناعي هذه الملفات، سجل الباحثون عدداً من الأسماء غير المطالب بها واستضافوا حزماً تجريبية تتصل بخادمهم عند تنفيذها. ووفق تقرير Ars Technica، ورد أول اتصال من شبكة شركة مدرجة في Fortune 500 خلال ساعة، بينما أفادت CyberPress بأن أول استجابة جاءت خلال أربع دقائق، وقد يرجع ذلك إلى اختلاف ظروف الاختبار. وتوالت بعد ذلك عشرات الاستجابات من شركات أخرى، بعضها من Fortune 500 وأخرى من شركات ناشئة.
وسجلت الحزم التجريبية سلسلة العمليات الأم التي أنشأت كل تثبيت، مما كشف أن وكلاء ترميز مثل Claude من Anthropic وCodex من OpenAI وHermes من Nous Research كانت وراء هذه التثبيتات.
وتكمن الآلية في أن الملفات المضللة تدرج أسماء حزم غير موجودة في سجلات مثل PyPI وnpm مع تعليمات تثبيتها. فعلى سبيل المثال، ورد في أحد الملفات الأمر pip install متبوعاً باسم حزمة غير مسجلة، وفي ملف آخر npm install متبوعاً باسم غير مسجل. ولأن أسماء الحزم غير مسجلة، يمكن لمهاجم تسجيل أحدها واستخدامه لاستضافة برمجيات خبيثة. وتحدث الثغرة عندما يتعامل وكيل ترميز يملك صلاحية تنفيذ أوامر shell مع الملف بوصفه وثيقة إعداد موثوقة، فيقوم بتنزيل الحزمة وتشغيلها.
وفي حالات أخرى، تشير الملفات إلى أسماء نطاقات غير موجودة، مما يتيح للمهاجم تسجيل النطاق وزرع تعليمات خبيثة عليه. وأظهر إثبات المفهوم أن وكلاء الترميز نفذوا ذلك بالفعل، بما في ذلك وكلاء تعمل داخل بعض أقوى الشركات في العالم.
ولم يقتصر الأمر على التهديد النظري، إذ رصد الباحثون حالة استغلال نشطة واحدة على الأقل. فقد عثروا على ملف llms.txt مستضاف على الموقع الشرعي clerk.com يحتوي على الأمر npx clerk-next-fix-auth-protection. وبخلاف أوامر التثبيت التقليدية، يمكن لأمر npx جلب حزمة إلى ذاكرة npm المؤقتة وتنفيذ ملفها الثنائي دون إضافتها إلى قائمة اعتماديات المشروع. واكتشف الباحثون لاحقاً أن جهة خبيثة سجلت الاسم الفارغ واستخدمته لاستضافة برمجيات خبيثة حية.
وتتبعت منصات أمنية الحزمة تحت المعرف MAL-2026-11069، المصنفة ضمن CWE-506، وأشارت تقارير إلى أنها تنفذ أكواداً عند التثبيت تنقل اسم المستخدم واسم الجهاز ودليل العمل والطابع الزمني إلى خادم خارجي. وأوضحت Clerk أنها عالجت المشكلة، وأنه إذا كان الوكيل قد ثبت مسبقاً ملفاً ثنائياً ضمن الحزمة @clerk/eslint-plugin فلن يكون هناك تهديد، وإلا فسيتم تثبيت الحزمة الخبيثة. ولا يزال من غير الواضح ما إذا كانت هناك إصابات فعلية ناتجة عن هذه الحزمة.
وأشار الباحثون إلى أن أدوات كشف التسلل عند نقاط النهاية وبروكسيات الشركات تجد صعوبة في رصد هذا النوع من الهجمات، لأن كل الإشارات المرصودة تبدو مشروعة: تسليم عبر HTTPS من نطاق مورد موثوق، وحركة مرور قياسية لمدير الحزم نحو سجلات مسموح بها مثل pypi.org، وتنفيذ عبر وكيل قامت المؤسسة بتثبيته عمداً. ولا يتضمن الهجوم أي CVE أو تصيد أو اختراق محيطي؛ بل إن سلسلة الثقة نفسها هي الثغرة.
ولا يزال مصدر هذه الإدخالات الخاطئة غير واضح. ففي كثير من الحالات، تسبق الإدخالات عصر الذكاء الاصطناعي ووردت أولاً في ملفات غير مخصصة للنماذج اللغوية على المواقع، مما يشير إلى أنها أُنشئت يدوياً. ويشتبه الباحثون في أن أخرى أُنشئت بواسطة ذكاء اصطناعي هلوس أسماء حزم، أو لم يستطع التمييز بين التعليمات المشروعة والمفبركة.
وتشمل التخفيفات الممكنة تهيئة وكلاء الترميز لطلب موافقة بشرية قبل تنفيذ عمليات التثبيت، والتحقق من ملكية الحزم مقابل قائمة موردين معتمدة، ورفض الأوامر التي تشير إلى أسماء غير مسجلة. غير أن هذه الإجراءات تتطلب تطبيقاً يدوياً على مستوى كل وكيل، ولا يوجد حتى الآن تصحيح عام لسوء تكوين ملفات llms.txt.
