LONDON (IT BOLTWISE) – Forschende haben auf über 100 Websites Dateien namens llms.txt und llms-full.txt gefunden, die beim Besuch durch KI-Agenten automatisch Installationsschritte anstoßen können. In einem Scan von 6.214 Domains wurden 8.265 solcher Dateien erfasst; 120 davon verwiesen auf nicht registrierte Pakete oder abgelaufene bzw. unbeanspruchte Domains. Das Risiko entsteht, weil agentische Systeme diese Dateien als autoritative Setup-Anleitung behandeln und Shell-Kommandos ausführen dürfen. In einem belegt wirkenden Fall wurde die Lücke in einer legitimen Website-Integration tatsächlich für Live-Malware missbraucht, bevor der Fehler behoben wurde.
Wenn KI-Agenten im Unternehmensnetz arbeiten, wirkt der Kontext oft wie ein reines Informationsproblem: Sie lesen Webseiten, SDK-Dokumentationen und maschinenlesbare Inhaltsdateien, um die nächsten Schritte abzuleiten. Genau an dieser Stelle kippt das Sicherheitsmodell jedoch. Laut einer Auswertung von Domains, die sich u. a. im Umfeld großer Tech- und Verteidigungsanbieter bewegen, existieren in der Praxis Dateien wie llms.txt und llms-full.txt, die in einer Art KI-Äquivalent zu robots.txt maschinenlesbare Strukturdaten liefern sollen. Der Befund: In zahlreichen Fällen enthalten diese Dateien Installationsanweisungen, die ein Coding-Agent mit Shell-Rechten nicht als untrusted Content behandelt, sondern als verlässliche Setup-Dokumentation ausführt.
Die Forschenden aus einem eher versteckt agierenden Startup in Israel haben 6.214 Live-Domains aus dem Umfeld von Defense Contractors, Fortune-500-Unternehmen und Big Tech durchsucht. Insgesamt fanden sie 8.265 llms.txt- und llms-full.txt-Dateien; weil viele Websites beide Varianten hosten, entfiel pro Domain teilweise mehr als eine Datei. Entscheidend ist die Fehlkonfiguration: 120 der Dateien befanden sich jeweils auf einer anderen Website und verwiesen auf ein oder mehrere Code-Pakete bzw. Domainnamen, die niemandem als registrierte Artefakte zuzuordnen waren. Für den Proof-of-Concept haben sie die vermeintlich „unbeanspruchten“ Namen selbst registriert und beobachtet, ob die installierenden Agenten daraus einen „phone-home“-Kontakt zu ihrem Server herstellen.
In der schnellsten Variante kam die Rückmeldung binnen einer Stunde von einer Fortune-500-Organisation: ein eingehender Anruf bzw. Beacon, der zeigt, dass die Paket- oder Domainauflösung tatsächlich zur Ausführung führte. Im Verlauf sammelten die Forschenden weitere Meldungen von mehreren weiteren Organisationen – teils ebenfalls Fortune 500, teils Startups. Besonders brisant: Die Beacon-Daten enthüllten die Kette der Parent-Prozesse, die die Installation auslösten, und damit, dass agentische Tools wie Claude, OpenAI’s Codex und Nous Research’s Hermes in der Testumgebung beteiligt waren. Dass die genannten Unternehmen bis zur Veröffentlichung nicht auf Anfragen geantwortet haben, ändert nichts daran, dass der grundlegende Mechanismus als realer Angriffspfad beschrieben wird.
Technisch liegt der Kern im Zusammenspiel aus „Dokument als Befehl“ und der Art, wie Agenten Ausgaben strukturierter Dateien interpretieren. Die Fehlkonfiguration zeigt sich in llms.txt und llms-full.txt konkret durch die Nennung nicht existenter Pakete aus typischen Ökosystemen wie PyPI oder npm sowie durch Befehle, wie diese zu installieren sind. Eine Datei enthält beispielsweise den Gedanken „Installation: pip install …“, eine andere entsprechend „npm install …“. Weil die Paketnamen nicht registriert waren, wäre ein späterer Angreifer in der Lage, genau diesen Namen zu beanspruchen und dort schädlichen Code zu hosten. In weiteren Fällen verweist die Datei nicht auf Pakete, sondern auf nicht existierende Domainnamen; auch hier reicht es, den Domainnamen später zu aktivieren und dann „bösartige Instruktionen“ auf der soeben freigeschalteten Seite bereitzustellen.
Ein besonders anschaulicher Beleg betrifft den von den Forschenden beschriebenen Mix-up im Fall einer Website-Integration: Die Datei lag auf einer legitimen Domain und enthielt einen Befehl, der auf „npx …“ abzielte. Anders als klassische Projektabhängigkeiten kann npx ein Paket in den Cache holen und ein bereitgestelltes Binary direkt ausführen, ohne dass es als Dependency im Projektmanifest auftaucht. Dadurch wird die Ausführung im normalen Blickfeld häufig als „developerisches Standardverhalten“ wahrgenommen: Ein Endpunkt, ein Proxy oder ein EDR sieht aus seiner Perspektive womöglich nur eine Paketmanager-Operation, die in einem Prozesskontext gestartet wird, den das Unternehmen bewusst installiert hat. Der Unterschied zwischen „Anweisung“ und „Ausführung“ fällt dann nicht im Endpoint auf, sondern im vorgelagerten Vertrauens- und Interpretationsmodell des Agents.
Über die konkreten llms.txt-Dateien hinaus ist die entscheidende Lehre die gleiche wie bei Prompt Injection – nur mit einem anderen Auslöser. Alon Hertz beschreibt es in einem Interview mit einem klaren Satz: „The trust model is broken, “ so Hertz, „Agents treat vendor docs as ground truth and don’t question them – and neither do the humans supervising them.“ In der Logik der Forschenden entkoppelt sich die Gefahr dadurch vom klassischen „böswilligen Akteur zur Schreibzeit“. Eine Anweisung kann ursprünglich harmlos wirken, weil sie aus einer legitimen Dokumentationsquelle stammt; später wird sie gefährlich, wenn die referenzierte Ressource aufgegeben, abgelaufen oder von jemand anderem beansprucht wird. Damit verschiebt sich die Angriffsfläche: Nicht nur Drittanbieter-Daten werden riskant, sondern der gesamte Datenraum, den agentische Systeme aggregieren, bis hin zu Ketten über Partner-Docs, Community-Guides und SDK-Referenzen.
Für Unternehmen bedeutet das eine praktische Neubewertung von Agentic KI in der Infrastruktur. Wenn Coding-Agenten mit der Erlaubnis zum Ausführen von Shell-Kommandos arbeiten, reicht „Netzwerkzugriff“ als Sicherheitsargument nicht mehr aus; dann muss auch das Interpretationsniveau der Eingaben adressiert werden. Der Befund ist zudem ein Reminder dafür, wie schnell Supply-Chain-Schutzmaßnahmen unter Druck geraten, sobald Datenquellen in maschinenlesbare Handlungsanweisungen übersetzt werden. Clerk hat den konkreten Fall nach Angaben der Forschenden inzwischen behoben; ob es darüber hinaus zu realen Infektionen kam, blieb hingegen unklar. Unabhängig davon wächst der Handlungsdruck: Je breiter Unternehmen KI-Agenten einsetzen, desto relevanter wird ein Sicherheitsansatz, der nicht nur Code-Integrität prüft, sondern auch die Herkunft, Aktualität und Gültigkeit von referenzierten Artefakten in den „Setup-Dateien“ – also dort, wo die Ausführung heute noch als Standardoperation durchrutscht.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Agenten: Misconfig von llms.txt führt zu unbeabsichtigter Paket-Installation" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Agenten: Misconfig von llms.txt führt zu unbeabsichtigter Paket-Installation" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Agenten: Misconfig von llms.txt führt zu unbeabsichtigter Paket-Installation« bei Google Deutschland suchen, bei Bing oder Google News!