AI-Coding-Agenten installieren fremden Code in Unternehmensnetzwerken

Forscher eines israelischen Startups haben eine schwerwiegende Supply-Chain-Schwachstelle im Kontext von AI-Coding-Agenten aufgedeckt. Das Problem dreht sich um sogenannte llms.txt-Dateien - ein neuer Standard, der Maschinen lesbare Zusammenfassungen von Website-Inhalten liefert und gewissermaßen das AI-Äquivalent von robots.txt ist.

Was passiert ist

Die Forscher scannten 6.214 Domains von Verteidigungsunternehmen, Fortune-500-Konzernen und Big-Tech-Firmen. In 120 der gefundenen llms.txt-Dateien enthielten 227 Installationsbefehle, die auf nicht registrierte Pakete oder Domains verwiesen. Als die Forscher einige dieser ungenutzten Namen registrierten und PoC-Pakete hosteten, riefen innerhalb einer Stunde Fortune-500-Unternehmen zurueck. Als Parent-Prozesse tauchten Claude, OpenAI Codex und Nous Research’s Hermes auf.

Das Kernproblem

Coding-Agenten behandeln Vendor-Dokumentation als vertrauenswuerdige Wahrheit. Sie koennen nicht zuverlaessig zwischen echten User-Anweisungen und Inhalten aus unzuverlaessigen Quellen unterscheiden. Ein Agent, der eine llms.txt-Datei liest, kann Installationsbefehle als autoritativ betrachten und Pakete aus PyPI oder npm installieren, die niemand besitzt. Angreifer koennen diese Slots uebernehmen und Malware hinterlegen.

Mindestens ein aktiver Angriff wurde bereits auf clerk.com entdeckt, wo ein npx-Befehl in einer llms.txt-Datei auf ein Malware-Paket verwies. Die Forscher formulieren es so: “Ein Agent unterscheidet nicht zwischen einer Seite und einem Befehl. Alles, was er liest, ist Input, und jeder Input ist eine potenzielle Anweisung.”

Quelle: Ars Technica