Pesquisadores descobriram que agentes de IA para programação instalaram pacotes de código não autorizados ao ler arquivos 'llms.txt' mal configurados. A falha atingiu milhares de domínios corporativos, dizem os analistas.
Agentes de inteligência artificial voltados à programação instalaram pacotes de código não registrados dentro de redes corporativas ao seguir instruções presentes em arquivos de documentação mal configurados, segundo análise de pesquisadores que investigaram o problema. A falha atingiu os arquivos “llms.txt” e “llms-full.txt”, convenção adotada por vários sites para oferecer resumos legíveis por máquina sobre o conteúdo e a estrutura de uma página. Esses arquivos funcionavam como uma versão voltada à IA do robots.txt.
O pesquisador Alon Hertz analisou 6.214 domínios ativos pertencentes a contratantes de defesa, empresas da lista Fortune 500 e grandes empresas de tecnologia. Ao todo, ele encontrou 8.265 arquivos llms.txt e llms-full.txt nesses domínios, com muitos sites hospedando os dois formatos ao mesmo tempo. Desse total, 120 arquivos em sites diferentes apontavam para pacotes de código ou domínios que não haviam sido registrados.
Os 120 arquivos somavam 227 comandos de instalação direcionados a conteúdo inexistente. Para testar o risco na prática, Hertz registrou alguns desses nomes vagos e hospedou pacotes programados para avisar o servidor da pesquisa assim que fossem instalados. Em menos de uma hora, uma empresa da Fortune 500 já havia executado o pacote. Com o tempo, o número de respostas cresceu para algumas dezenas, vindas tanto de outras empresas da Fortune 500 quanto de startups.
Ao registrar cada instalação, os pesquisadores conseguiram rastrear a cadeia de processos que originou os comandos e identificaram a participação de agentes de codificação como o Claude, o Codex e o Hermes. As três empresas responsáveis por esses agentes não responderam a pedidos de comentário até a publicação da reportagem.
Um exemplo prático detectado pelos pesquisadores envolveu um arquivo llms hospedado no site legítimo da Clerk que continha o comando a seguir:
npx clerk-next-fix-auth-protection
Diferentemente de uma instalação convencional, o npx pode buscar um pacote no cache do npm e executar seu binário diretamente, sem registrá-lo nas dependências do projeto. Os pesquisadores descobriram que alguém havia registrado esse nome antes vago e o utilizava para distribuir malware ativo. A Clerk corrigiu o problema depois de ser notificada e informou que, se um agente já tivesse instalado um binário do pacote legítimo @clerk/eslint-plugin, não haveria risco naquela instalação específica. Não ficou claro se a confusão resultou em infecções reais em outras empresas.
Segundo Hertz, um agente não diferencia uma página de um comando: qualquer conteúdo que ele lê é tratado como uma possível instrução. Isso transforma documentação publicada na internet em uma superfície de execução, sem as garantias de integridade aplicadas a código formal. O caso se conecta ao problema conhecido de injeção de prompt, mas com uma diferença: aqui a instrução original costuma ser legítima quando escrita e passa a representar risco quando o pacote ou domínio citado é abandonado e outra pessoa o registra.
Para reduzir o risco, os pesquisadores apontaram duas medidas. A primeira é a limpeza da documentação pelas próprias empresas, retirando referências a pacotes e domínios inexistentes. A segunda é impedir que agentes de IA tratem arquivos de documentação como instruções executáveis, algo que ainda não é padrão no mercado. Enquanto essa mudança não ocorrer, recomendaram que organizações que utilizam IA para programação avaliem com cautela quais permissões concedem a esses agentes para executar comandos no sistema.
LEIA TAMBÉM
Receba as notícias no seu WhatsApp
Entre no nosso canal oficial e fique por dentro de tudo que acontece em Sergipe
Entrar no canal →