8月27日、Ars Technicaが「Claude, Codex, and Hermes installed unowned code inside corporate networks」と題した記事を公開した。この記事では、AIコーディングエージェントが企業ネットワーク内で無主のコードを自動実行してしまった実例について詳しく紹介されている。以下に、その内容を紹介する。

Claude・Codex・Hermesが企業ネットに"勝手に"コードをインストールした

イスラエルのステルススタートアップの研究者が、防衛請負業者・Fortune 500企業・Big Tech企業など6,214のライブドメインをスキャンした。発見された8,265件のllms.txtおよびllms-full.txtファイルのうち、120件が、存在しないパッケージ名やドメイン名を参照していた。

研究者たちはその未登録の名前をいくつか実際に取得し、実行されたマシンが自分たちのサーバーへ「コールホーム（通報）」するビーコン用パッケージを設置した。結果は衝撃的だった。1時間以内にFortune 500企業の1社からコールホームが届き、その後も数十社——一部はFortune 500、一部はスタートアップ——からの応答が記録された。

ビーコンが記録した親プロセスのチェーンから、実行に関与したエージェントも判明した。AnthropicのClaude、OpenAIのCodex、そしてNous ResearchのHermesである。Anthropic、OpenAI、Nous Researchはいずれも記事公開時点でコメントに応じていない。

llms.txtとは何か

llms.txtおよびllms-full.txtは、ウェブサイトがAIエージェント向けにサイトのコンテンツや構造を機械可読な形式で提供するための新興の規約だ。検索エンジンに対してクローリング方法を指示するrobots.txtのAI版と考えると分かりやすい。Google Lighthouseもこの仕組みに対応しており、詳細はこちらで確認できる。

正しく設定されたllms.txtの例として、Cloudflareのファイル（llms.txt / llms-full.txt）が参照できる。

問題の本質は、AIエージェントがこれらのファイルを「ベンダーの公式ドキュメント」として無条件に信頼し、記載されたパッケージを自動インストールする点にある。人間の監督者も同様にその内容を疑わないことが多い。

研究者の一人、Alon Hertz氏はこう述べている。

「信頼モデルが壊れている。エージェントはベンダーのドキュメントを正しい情報として扱い、疑問を持たない——監督している人間も同じだ。AIエージェントの利用は爆発的に拡大しており、SaaS・クラウド・エンドポイントのあらゆる層に広がっている。エージェントが増えるにつれ、サプライチェーンの攻撃面も拡大するが、今の防御策はそこをカバーできていない。」

サプライチェーンリスクとしての構造的問題

今回の手法は、「依存関係の混乱（Dependency Confusion）」攻撃の亜種と見なせる。2021年にセキュリティ研究者のAlex Birsan氏が実証したこの攻撃手法は、パッケージマネージャーが存在しない内部パッケージ名を外部リポジトリから取得してしまう脆弱性を突くものだ。今回はその対象がllms.txtという新しい規約に拡張された形だ。

さらに深刻なのは、少なくとも1件の誤設定されたサイトが、人間かAIかを問わず訪問者を実際のマルウェアに誘導していたという点だ。これは概念実証（PoC）の範囲を超えた実害リスクである。

AIコーディングエージェントの自律性が高まるにつれ、エージェントが参照するドキュメントファイル自体が攻撃ベクターになるというこの構造は、エンジニアリングチームとセキュリティチームの両方が直視すべき問題だ。

詳細はClaude, Codex, and Hermes installed unowned code inside corporate networksを参照していただきたい。