Claude、Codex 和 Hermes 在企业网络内安装无主代码

近日，安全研究人员揭露了一个影响广泛的新威胁：AI 编程代理，包括 Claude、OpenAI 的 Codex 和 Nous Research 的 Hermes，可能在处理企业文档时，自动安装指向无主代码的恶意包。这项发现源于以色列一家隐身初创公司的扫描，他们检查了 6,214 个活跃域名，涵盖国防承包商、Fortune 500 公司和大型科技企业。在这些网站的 llms.txt 和 llms-full.txt 文件中，研究人员发现 120 个文件，每个位于不同站点，均指向未注册的代码包或域名。

这些文件本应提供机器可读的网站摘要，但部分被错误配置，列出了 PyPI、npm 等注册表中不存在的安装命令，例如“pip install [包名]”或“npm install [包名]”。由于包名未注册，攻击者可以抢先注册并托管恶意软件。研究团队注册了部分无主名称，并托管了能触发回连的代码。结果，在一小时内，他们就收到了一家 Fortune 500 公司的响应，随后陆续获得数十个来自其他企业的回连，包括更多 Fortune 500 公司和初创企业。

更令人担忧的是，一个活跃攻击已经利用了这一漏洞。合法网站 clerk.com 上的 llms.txt 文件包含“npx clerk-next-fix-auth-protection”命令，该命令会从 npm 缓存拉取包并执行。研究人员发现，有人已将这个此前空置的槽位变成了托管实时恶意软件的渠道。Clerk 公司已修复问题，但专家指出，AI 代理无法可靠区分用户指令和第三方内容中的指令，导致提示注入风险持续存在。

研究人员强调，这些 227 条错误命令可能部分由人类手动写入，部分由 AI 生成时的幻觉造成。问题的根源在于代理将整个互联网数据视为可执行指令，而缺乏代码完整性保障。这暴露了当前 AI 工具的核心弱点：当信任模型建立在未经验证的外部文件上时，企业网络的安全防护可能形同虚设。