Sicherheitsforscher Alon Hertz und ein kleines Team durchsuchten das Web nach llms.txt-Dateien, einem neuen Format, das Websites neben robots.txt veröffentlichen, um KI-Coding-Agenten mitzuteilen, welche Dokumentation sie lesen, welche APIs sie aufrufen und welche Pakete sie installieren sollen. Googles Lighthouse-Tool in den Chrome DevTools prüft die Datei mittlerweile unter der Kategorie "Agentic browsing", was weitere Websites zur Veröffentlichung anregt.

terminal
npx clerk-next-fix-auth-protection

Innerhalb eines Wochenendes löste das Team 8.565 llms.txt-Dateien auf 6.214 aktiven Domains auf, aus einem Pool von rund 15.000 erfassten Unternehmen, darunter Fortune-500-Konzerne, Tech-Giganten, Fintechs und Rüstungsfirmen. Bei der Durchsicht der Installationsbefehle in diesen Dateien fanden sie mehr als 237 referenzierte Paketnamen, Domains und Subdomains auf PyPI, npm, RubyGems, NuGet, crates.io und Packagist sowie abgelaufene .dev- und .io-Domains und verwaiste Render-, Vercel-, Fly- und Netlify-Subdomains, die niemand tatsächlich beansprucht hatte.

Um das reale Risiko zu testen, registrierten die Forscher einige dieser freien Namen selbst und bauten jeweils einen harmlosen Phone-home-Beacon ein. Der erste Installations-Callback aus einem Fortune-500-Unternehmen kam nach weniger als vier Minuten, ein zweiter folgte innerhalb einer Stunde, dutzende weitere kamen von Unternehmen unterschiedlicher Größe. Ein separater Test mit fünf führenden Modellkonfigurationen und zwei agentenbasierten CLIs zeigte, dass ein einziger einzeiliger Prompt, der nur den Anbieternamen nannte, ohne URL und ohne Erwähnung von llms.txt, in 100 Durchläufen genügte, damit Agenten die Datei selbst fanden und das gefälschte Paket installierten.

Bei der Auswertung der Daten stieß das Team auf einen bereits aktiven, nicht simulierten Angriff. Die llms.txt-Anleitung des Authentifizierungsanbieters Clerk für Next.js-Apps weist Agenten an, "npx clerk-next-fix-auth-protection" auszuführen. Dieses Binary gehört eigentlich zu Clerks echtem Paket @clerk/eslint-plugin, doch wenn der nackte Befehl vor lokaler Installation dieses Pakets läuft, löst npx den Namen stattdessen gegen die öffentliche npm-Registry auf, wo ein Dritter ihn bereits registriert hatte. Das untergeschobene Paket hat keine echte Funktion, sondern schickt bei jeder Installation Benutzername, Rechnername, Arbeitsverzeichnis und Zeitstempel an einen externen Server. Es ist als MAL-2026-11069 unter CWE-506 katalogisiert und wurde von Googles OSV.dev sowie Amazon Inspector gemeldet. Clerks Sicherheitsteam wurde informiert und behob das Problem rasch; das bösartige Paket stammte von einer außenstehenden Partei, nicht von Clerk selbst.

Die Forscher argumentieren, dass klassische Endpoint-Detection dieses Muster übersieht, weil der Datenverkehr wie eine normale pip- oder npm-Installation aussieht, gestartet von einem Coding-Agenten, den das Unternehmen selbst installiert hat. Sie beschreiben den dahinterliegenden Wandel so: Daten werden zu Code. Dokumentation, Foren und Tickets, die für Menschen geschrieben wurden, werden nun von KI-Agenten gelesen und ausgeführt, wodurch die alte Grenze zwischen passivem Inhalt und ausführbarem Code verschwindet, ohne die Integritätsprüfungen, die Code sonst erfordert.