קוד זדוני הותקן אוטומטית ברשתות ארגוניות דרך קבצי llms.txt

חוקרים בסטארטאפ ישראלי במצב חשאי גילו שסוכני קוד פופולריים, Claude של Anthropic, Codex של OpenAI ו-Hermes של Nous Research, מורידים ומריצים חבילות תוכנה שלא נרשמו מעולם, פשוט כי קבצי תיעוד באתרים ארגוניים הפנו אליהן. הסריקה הקיפה 6,214 דומיינים חיים של קבלני ביטחון, חברות Fortune 500 וחברות Big Tech, ומתוך 8,265 קבצי llms.txt ו-llms-full.txt שנמצאו, 120 קבצים באתרים שונים הצביעו על שמות חבילות או דומיינים פנויים.

איך עובד המנגנון

קבצי llms.txt ו-llms-full.txt הם תקן מתהווה שמאפשר לאתרים לספק תקצירים קריאי-מכונה של התוכן והמבנה שלהם, המקבילה של robots.txt למנועי חיפוש, רק עבור מודלי שפה. כשסוכן קוד סורק תיעוד של ספק, הוא קורא את הקבצים האלה ומבצע את מה שמופיע בהם בלי לבדוק אם החבילה קיימת, חתומה או לגיטימית. חוקרי הסטארטאפ הישראלי רשמו כמה מהשמות הפנויים, שתלו בהם חבילות שמדווחות לשרת שלהם, ותוך שעה קיבלו "טלפון הביתה" מחברת Fortune 500 ראשונה. בהמשך הגיעו עשרות נוספות, חלקן מארגוני ענק אחרים וחלקן מסטארטאפים.

שרשרת התהליכים חושפת את הסוכנים

הבקון (beacon) שתלו החוקרים תיעד את שרשרת תהליכי האב שהפעילו כל התקנה, וכך זוהו שלושת הסוכנים המעורבים. Anthropic, OpenAI ו-Nous Research לא הגיבו לפניות עד מועד הפרסום. "מודל האמון שבור", כתב אלון הרץ (Alon Hertz), אחד החוקרים, בראיון. "סוכנים מתייחסים לתיעוד ספק כאל אמת מוחלטת ולא מטילים בו ספק, וגם בני האדם שמפקחים עליהם לא. השימוש בסוכני AI מתפוצץ, והם חודרים לכל שכבה, SaaS, ענן, קצה. ככל שהם מתרבים, שטח התקיפה של שרשרת האספקה גדל, וההגנות של היום לא מכסות אותו."

לא רק הוכחת היתכנות

לפחות אתר אחד שגוי-קונפיגורציה מפנה מבקרים, אנושיים או סוכנים, ישירות לנוזקה חיה, לא רק לחבילה ריקה. הדבר מדגים שהבעיה אינה תיאורטית: התשתית כבר מנוצלת לרעה. גוגל לייטהאוס (Google Lighthouse) מפרסמת מידע נוסף על התקן, ו-Cloudflare מציגה דוגמאות לקבצים מוגדרים נכון, אבל הרוב המכריע של האתרים שנסרקו לא טרח לאמת את ההפניות בקבצים שלו.

המשמעות לצוותי אבטחה בישראל

הזווית המקומית כאן אינה מקרית: המחקר בוצע על ידי צוות ישראלי, והממצאים רלוונטיים לכל ארגון שמריץ סוכני קוד בסביבת ייצור. צוותי אבטחה צריכים להתחיל לסרוק קבצי llms.txt ברשת שלהם, לחסום הורדת חבילות משמות לא מאומתים, ולוודא שבני אדם בודקים את מה שהסוכן מבקש להתקין, כי כרגע, אף אחד לא עושה את זה.