何が起きたか
研究者らは、防衛関連企業、Fortune 500、ビッグテックに属する6,214の稼働ドメインをスキャンし、8,265件のllms.txtおよびllms-full.txtを収集しました。多くのサイトは両方のファイル形式を併置していました。
このうち120件（それぞれ別サイト）が、登録されていないコードパッケージ名やドメイン名を参照していました。研究者はその一部を実際に取得し、実行されると自分たちのサーバーへ通信を返すパッケージを設置。すると1時間以内にFortune 500企業から最初の応答が届き、その後さらに数十件、別のFortune 500企業やスタートアップから通信が来ました。
通信ビーコンは、インストールを起こした親プロセスの連鎖を記録していました。そこに現れたのが、Claude、OpenAIのCodex、Nous ResearchのHermesといったコーディングエージェントです。100を超えるサイトが、AIエージェントに訪問されると自動的にインストールされうる危険な実行可能コンテンツを参照していた計算になります。少なくとも1件の設定不備サイトは、人間かAIかを問わず、訪問者を実際に稼働中のマルウェアへ誘導していました。なおAnthropic、OpenAI、Nous Researchは、報道時点でコメント要請に応じていません。
なぜ重要か
llms.txtは、サイトの内容と構造を機械可読な形で要約して提供するための新しい慣行で、検索エンジンにインデックス方法を指示するrobots.txtのAI版と説明されます。Web開発者向けツールのGoogle Lighthouseがこの慣行について情報を提供し、Cloudflareは正しく設定されたllms.txt／llms-full.txtの例をホストしています。つまり、これは怪しげな裏道ではなく、業界が推奨しつつある表通りの規約です。
問題は、この規約が「読まれるだけ」で終わらない点にあります。robots.txtはクローラの挙動を制御するだけですが、llms.txtが示す先には、エージェントがそのままinstallしにいくパッケージ名が並びます。読み取り用の目録が、事実上の実行トリガーになっている。ここが決定的な違いです。
論点は「タイポスクワッティングの新しい入口」
未登録のパッケージ名が公開ドキュメントに書かれている状態は、攻撃者にとって招待状に等しいものです。従来のパッケージ名詐称は「開発者が打ち間違える」ことに賭ける確率的な攻撃でしたが、今回は違います。企業自身が公式ドメイン上のファイルで、取得可能な名前を名指ししている。攻撃者はその名前を登録して待つだけで、標的企業のエージェントが自分から取りに来ます。狙う相手を選べる、極めて命中率の高い供給網攻撃です。
研究者のAlon Hertz氏は、信頼モデルが壊れていると指摘します。エージェントはベンダーのドキュメントを地の真実（ground truth）として扱い、疑うことをしない。そして監督している人間も疑わない、と。同氏はさらに、エージェント型AIの利用が爆発的に増え、SaaS・クラウド・エンドポイントというあらゆる層にエージェントが広がっており、その増殖に比例して供給網の攻撃面も広がる一方、今日の防御はそこをカバーできていないと述べています。
侵入経路として見ると、この経路は既存の管理策のほぼ全ての隙間を通ります。ドキュメントファイルの取得はHTTPのGETであり、DLPも境界防御も止める理由を持ちません。パッケージのインストールは開発者マシンやCIの内側で、正規のエージェント権限のもとで走ります。そして最初のトリガーは、社内の誰かのプロンプトではなく、第三者のサイトに置かれたテキストファイルです。自社が管理していない場所の記述が、自社ネットワーク内でのコード実行に直結する構図になっています。
💼 事業会社視点：これは自社にどう効くか
日本企業の役員が今週確認すべきは2つです。第一に「自社が加害側になっていないか」。SaaSやAPIを提供している企業、開発者向けドキュメントを持つ企業は、llms.txt／llms-full.txtを設置済みか、そこに書いたパッケージ名・ドメインが全て自社で登録済みかを点検してください。今回の120件は、自社サイトの記述が顧客のネットワーク内でのコード実行を招いた例です。SDKを配布するSaaSベンダーやECプラットフォーム事業者にとっては、顧客企業への加害となり、契約上のセキュリティ条項に直撃します。
第二に「被害側の統制」。受託開発・SIerでは、顧客環境や共有CIでClaudeやCodexを走らせているケースが多いはずです。エージェントに外部ドキュメント経由のインストールを無条件に許すかは、CTOではなく事業責任者が決めるべき方針事項です。当面の実務的な打ち手は、エージェント実行環境をネットワーク的に隔離し、パッケージ取得を社内プロキシ／プライベートレジストリ経由に限定すること。エージェントによるインストールを人間の承認事項として切り出すこと。この2点は既存の仕組みで今日から着手できます。
Anthropic、OpenAI、Nous Researchはコメントを出していません。プラットフォーム側の修正を待つ前提で計画を組むのは危険です。
