イスラエルのステルススタートアップに所属する研究者が、AIコーディングエージェント向けの案内ファイル「llms.txt」に潜む新たなサプライチェーンリスクを明らかにした。研究者は6,214ドメインをスキャンし、8,265個のllms.txt・llms-full.txtファイルを発見。うち120ファイルに含まれる227件のインストールコマンドが、誰も所有していないパッケージや未請求のドメインを参照していた。

llms.txtとは何か、なぜ悪用されるのか

llms.txtは、AIエージェントが開発者向けドキュメントを効率よく読み取れるように設計されたテキストファイルで、ウェブサイトのルート直下に置かれる。Claude Code・OpenAI Codex・Nous Researchの Hermes Agentといったコーディングエージェントは、このファイルに書かれたインストール手順を実行の一部として参照する。

問題の核心は、AIエージェントが「公式ドメイン上でHTTPS配信されたファイルの内容を疑わない」という挙動にある。データとコードの境界があいまいになり、エージェントが読み込むテキストがそのまま実行命令として扱われかねない構造だ。ドキュメント作成時にAIが生成した架空のパッケージ名がそのままllms.txtに紛れ込むケースもあるという。

実際に被害が出た事例

調査では、少なくとも1つの設定ミスのあるサイトが訪問者を実際のマルウェアへ誘導していたことが確認された。認証サービスClerk.comの事例では、第三者が架空のパッケージ名をnpmレジストリに実際に登録し、本物のマルウェアをホスティングしていたという。Fortune 500企業を含む複数の組織で、この経路によるコード実行が確認されている。

セキュリティ企業Aikido SecurityのCTO、Willem Delbare氏は「アカウンタビリティ（説明責任）が存在しない」と指摘する。マーケティングや営業などの非エンジニア部門がAIツール経由で意図せずインストールを引き起こすケースもあり、セキュリティチームがエージェントの行動を把握しきれていない実態がある。同社はエージェント経由のパッケージインストールを事前検査し、新規公開から48時間はインストールを保留する仕組みを提供して対応しているという。

開発者への影響

Claude CodeやCodex、Hermes Agentを日常的に使う開発者にとって、この問題は他人事ではない。llms.txtファイルは開発者向けの「親切な案内」として急速に普及しているが、その内容を無条件に信頼する設計が、そのままサプライチェーン攻撃の経路になり得る。パッケージインストールを伴うエージェントのタスクでは、実行前にコマンドの妥当性を確認する運用や、インストール監視ツールの導入が当面の対策になりそうだ。