安全研究人员公开了一类针对 llms.txt 的供应链攻击风险，一旦网站里的 llms.txt 写了不存在的包安装指令，拥有命令执行权限的 AI 编码助手会直接采信这份文档，自动拉取并安装对应包，攻击者只要提前抢占这个空闲包名，上传恶意代码，就能把木马、数据窃取程序送入企业开发环境，这次扫描覆盖六千多家头部企业域名，一共找到 120 份存在这类风险的 llms.txt，Claude、Codex、Hermes 这类主流智能编码代理都被验证会中招，它和普通的模型幻觉假包不一样，根源在于现在 llms.txt 只是给 AI 读取文档用的索引规范，没有签名、没有完整性校验，AI 会把里面的安装命令当成权威标准，不会主动核验包是否真实归属官方。研究者做的概念验证已经证实，恶意包上线之后，短时间内就会被自动下载执行，常规杀毒和流量监控很难识别，看起来就像是正常的依赖安装流程，属于全新的 slopsquatting 攻击分支。
一、漏洞基础信息清单
- 风险名称：llms.txt 文档投毒，诱导 AI 自动安装未注册包
- 攻击归类：Slopsquatting（AI 幻觉占包攻击）、智能体供应链漏洞
- 受影响对象：具备 Shell 执行权限的 AI 编码助手 / Agent
- 检出规模：扫描 6214 个企业域名，发现 120 份高风险 llms.txt
- 验证工具：Claude、OpenAI Codex、Nous Hermes
- 触发条件：llms.txt 包含 pip /npm 等安装指令；AI 允许自动执行命令
- 危害结果：任意代码执行、内网渗透、密钥与源码泄露、植入勒索程序
二、整套攻击运作流程
- 埋下记录：在网站 llms.txt/llms-full.txt 写入一条安装命令，包名在 PyPI、npm 还没有被注册。
- 抓取文档：AI 编码助手访问官网文档，优先读取 llms.txt，把里面内容当作可信指引。
- 自动执行：开启自动模式的 Agent，直接运行安装命令，不会二次校验包归属。
- 抢占包位：攻击者抢先注册这个空闲包名，上传带有恶意逻辑的版本。
- 载荷落地：AI 拉取、安装并运行恶意包，在开发服务器、CI 流水线执行攻击代码。
三、和传统假包幻觉的差别
- 普通包幻觉：模型自己凭空编造包名，写进代码示例。
- llms.txt 陷阱：把假包指令放进对外公开的官方文档索引文件，可信度更高，AI 更容易无条件执行。
- 拼写劫持（Typosquatting）：利用人手敲错名字；本风险依靠 AI 主动跟随文档指令。
四、企业与开发者防护步骤
- 关闭自动执行：禁止 AI 编码助手无人工审批直接运行安装、Shell 命令。
- 清理文档：全站审计 llms.txt，删掉不存在包的安装指令；如果确实需要引用包，提前注册并锁定包名。
- 依赖白名单：给包管理器配置允许列表，只放行内部可信、固定哈希的依赖包。
- 固定版本与哈希：所有依赖锁定版本号，开启 lockfile，校验包哈希，防止后续被劫持。
- 监控告警：监控开发环境、CI 出现陌生包安装记录，重点盯 llms.txt 引用的依赖。
- 文件校验方案：对外发布 llms.txt 时增加签名机制，让 AI 可以校验文档有没有被篡改。
【相关 FAQ】
问题 1：llms.txt 陷阱为什么会让 AI 编码助手自动安装不存在的包？
回答 1：llms.txt 是面向 AI 的文档索引文件，目前规范没有签名和校验机制，AI 编码助手默认把这份文档当作权威资料，只要里面写了安装命令，并且助手拥有执行权限，就会直接安装文档标注的不存在包，攻击者抢先注册包名就能投放恶意代码。
问题 2：遇到 llms.txt 陷阱，哪些 AI 编码助手更容易中招？
回答 2：已经被研究验证的包括 Claude、Codex、Hermes，只要编码助手开启自动执行 Shell、自动安装依赖，并且会主动抓取网站 llms.txt 作为参考，就存在触发这个 llms.txt 陷阱的风险。
问题 3：开发者要怎么做，才能避开 llms.txt 这类假包自动安装风险？
回答 3：开发者要关掉 AI 的自动安装权限，所有依赖安装都人工复核；同时检查项目引用文档里的 llms.txt，确认里面所有包都真实存在、归属官方，并且使用固定哈希锁定依赖，防止被 llms.txt 陷阱诱导。
【参考资料】
[2026-09-14]（llms.txt 供应链投毒：AI Agent 的新威胁）36 氪企服点评
[2026-09-07]（llms.txt 信任模型破损，供应链风险评级紧急）Cloud Security Alliance Lab
[2026-08-30]（Claude、Codex、Hermes 可在企业内网执行可疑代码）TechRadar
[2026-08-28]（Claude、Codex 与 Hermes 在企业网络内执行未经授权的代码）腾讯云开发者社区
[2026-08-27]（llms.txt 漏洞：AI 代理自动通过文档安装恶意代码）Ars Technica / NeuralSpace
【免责声明】
本内容仅整理公开安全研究资讯，不构成安全保障方案；该 llms.txt 陷阱属于新兴供应链风险，防护手段会随标准迭代更新，实际安全加固方案请参考官方安全公告，所有攻击复现、文档审计操作请在授权环境内开展。
本文来自作者[幽粒信标]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/kjyw/202611/2258.html
评论列表（4条）
我是乌兰科技网的签约作者“幽粒信标”！
希望本篇文章《llms.txt 爆出新陷阱，AI 编码助手会自动安装文档内不存在的软件包》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：安全研究人员公开了一类针对 llms.txt 的供应链攻击风险，一旦网站里的 llms.txt 写了不存在的包安装指令，拥有命令执行权限的 AI 编码助手会直接采信这份文档，自动拉取并安装对应包，攻击者只要提前抢占这个空闲包名，上传恶意代码，就能把木马、数据窃取程序送入企业开发环境，这次扫描覆盖六千多家头部企业域名，一共找到 120 份存在这类风险的 llms.txt，Claude、Codex、Hermes 这类主流智能编码代理都被验证会中招，它和普通的模型幻觉假包不一样，根源在于现在 llms.txt 只是给 AI 读取文档用的索引规范，没有签名、没有完整性校验，AI 会把里面的安装命令当成权威标准，不会主动核验包是否真实归属官方。研究者做的概念验证已经证实，恶意包上线之后，短时间内就会被自动下载执行，常规杀毒和流量监控很难识别，看起来就像是正常的依赖安装流程，属于全新的 slopsquatting 攻击分支。