公開 llms.txt 檔案可能觸發任意程式碼

🔑 增強重點摘要

• •攻擊者透過註冊 llms.txt 中引用的未領取套件名稱或過期網域，誘使 AI 代理自動安裝惡意軟體，實現供應鏈攻擊。
• •研究顯示，在受控測試環境中，攻擊者能在四分鐘內成功於財星 500 大企業的系統內執行惡意程式碼。
• •WordPress 的「Website LLMs.txt」外掛程式被發現存在 CVE-2026-6712 漏洞，允許未經身份驗證的攻擊者進行反射型跨站腳本攻擊 (XSS)。
• •由於 llms.txt 本質上缺乏身份驗證與簽章機制，AI 代理將其視為權威指令的設計缺陷，成為了此類攻擊的主要成因。
• •此漏洞揭示了 AI 代理在處理外部輸入時，未能有效區分「資料」與「可執行指令」，導致傳統安全邊界失效。

🛠️ 技術深入

• •
  • 攻擊機制：利用 AI 代理的自動化套件安裝功能，將 llms.txt 作為惡意指令的傳遞載體。
• •
  • 漏洞類型：屬於供應鏈攻擊與提示詞注入 (Prompt Injection) 的混合型態，利用了 AI 對機器可讀檔案的過度信任。
• •
  • 攻擊向量：透過註冊 llms.txt 中提及的無主套件名稱 (Dependency Confusion)，誘使代理從惡意來源下載程式碼。
• •
  • 軟體漏洞：CVE-2026-6712 影響 WordPress 外掛，允許攻擊者注入惡意指令碼，進而操控 AI 代理的行為。
• •
  • 防禦缺失：目前缺乏針對 llms.txt 的輸入驗證、版本控制及存取限制機制，導致系統無法過濾惡意內容。

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線