編按：本文綜合整理自 Ars Technica 原報導，加入 Siami 編輯部觀點與分析。
事件概述
以色列一家仍在隱身模式的資安新創掃描了 6,214 個企業網域（涵蓋國防承包商、Fortune 500、大型科技公司），在 8,265 份 llms.txt 與 llms-full.txt 檔案中，發現 120 個檔案指向從未註冊的程式套件或網域名稱。研究人員註冊其中幾個空域名並架設誘餌後，一小時內就收到一家 Fortune 500 企業的連線請求，後續更收到數十家企業的來電回報。
關鍵發現：Beacon 紀錄的父行程鏈顯示，執行程式碼的 AI 編碼助理包括 Anthropic 的 Claude、OpenAI 的 Codex，以及 Nous Research 的 Hermes。
攻擊手法：「無害指令」變攻擊面
這個新型漏洞的核心不是 prompt injection，而是更廣義的資料與程式碼界線崩塌。
在 prompt injection 攻擊中，攻擊者必須主動植入惡意指令。但這次揭露的漏洞更狡猾——指令本身可能完全無害、來自合法企業的官方文件，危險在指令發布之後才產生：當套件或網域被棄用、被其他人接手註冊時，原本無害的安裝指令就變成了攻擊媒介。
實證案例：clerk.com 的官方 llms.txt 中曾包含一段文字 npx clerk-next-fix-auth-protection。由於 npx 可繞過 manifest 直接執行程式，研究人員發現有人已經搶先註冊這個空名並上架了真正的惡意程式。Clerk 後續已修復問題，但不確定是否已有實際感染發生。
「Agent 不會區分頁面與指令。它讀到的所有東西都是輸入，每個輸入都是潛在指令。這代表現在 Agent 開始消費的龐大公開資料庫，已經悄悄變成了執行介面——而這些資料幾乎沒有真正的程式碼完整性保證。」
企業 EDR 為什麼沒抓到
對任何端點偵測與回應（EDR）系統或代理伺服器而言，這看起來就像一個開發者在跑合法的套件管理指令——從 pypi.org 下載 pip 套件（這是每個企業代理都允許的白名單網域），而觸發的編碼 Agent 也是公司自己裝的合法工具。沒有異常、沒有告警，因為失敗發生在上游——在「讀到指令」與「執行程式碼」之間那道沒人問對問題的鴻溝。
研究團隊 Alon Hertz 指出：
「信任模型已經壞掉。Agent 把廠商文件當成真理來源、不會質疑，連監督它們的人類也不會質疑。Agentic AI 使用量正在爆炸，Agent 擴散到 SaaS、雲端、終端的每一層；它們越多，供應鏈攻擊面就越大，而現有的防禦機制都沒涵蓋到。」
為什麼這件事重要
這不只是另一個資安漏洞——它揭示了 LLM 根本性的限制：模型無法可靠區分「直接輸入的指令」與「從不可信第三方來源讀到的內容」，除非有人一個一個為每種情境設立防線。
Siami 觀察三個深層影響：
- 信任傳遞鏈的崩潰：
llms.txt不一定要放在 Fortune 500 自己的網站上——Agent 從可信第三方（合作夥伴文件、廠商 SDK、社群專案）拉取內容時，如果第三方檔案指向未認領套件，整條信任鏈就同樣會被利用。 - 資料與可執行程式碼的界線消失：過去被嚴格區隔的兩者，在 Agent 時代變成同一件事。任何 Agent 能處理的內容，都是潛在的可執行指令。
- 企業級 AI 採用踩煞車：這個漏洞讓「在公司全面部署 Coding Agent」這件事的風險評估完全改寫。Fortune 500 內網淪陷的速度（一小時）說明現有的零信任架構根本不夠用。
數據解讀與質疑
研究團隊掃描的 6,214 個企業網域 中有 120 個（1.93%） 含有指向未認領資源的指令，總計 227 個安裝指令存在漏洞。這些錯誤條目大多數早在 AI 時代之前就已存在——研究人員懷疑它們一開始是人工寫入或由早期 AI 系統幻覺產生，完全沒有惡意行為者參與。
幾個值得追問的點：
- 為什麼 EDR 抓不到？ 因為 EDR 監控的是「異常行為」，但 Agent 執行的每一步都符合「開發者正常指令」。要擋這類攻擊必須從指令語意層下手，而這恰恰是 LLM 不擅長的事。
- 為什麼 Anthropic、OpenAI、Nous Research 都沒回應？ 三家公司在發稿前都未對研究團隊的詢問作出回應。這個集體沉默暗示這是整個產業都還沒準備好的系統性問題，而非單一廠商的疏失。
- 修得了嗎？ 短中期內，企業可能需要為每個 Agent 部署指令白名單與 namespace 驗證層，但這會大幅抵銷 Agent 的便利性——等於把「自動化」降級回「半自動」。
後續觀察重點
- Anthropic、OpenAI、Nous Research 是否會在下一版 Agent 中加入
llms.txt指令的 namespace 驗證 - Clerk 案的後續調查結果——是否有真實企業內網遭植入惡意程式
- 是否會出現類似 npm package confusion 的
llms.txt自動化掃描工具與漏洞回報獎金
出處：Dan Goodin, Ars Technica, Aug 27 2026 本文為 Siami 編輯部綜合整理，加入編輯視角與產業分析。原文標題：〈Claude, Codex, and Hermes installed unowned code inside corporate networks〉