- 研究者が120のドメインで、サイバー犯罪者に悪用され得る未登録のllms.txt参照を発見
- AIエージェントは、幻覚や古いドキュメントのコマンドを実行するとマルウェアをインストールしてしまう恐れがある
- 対策:ドキュメントを整理し、AIエージェントがドキュメントを実行可能な指示として扱わないよう制限する
サイバー犯罪者が、幻覚(ハルシネーション)、古いもの、あるいは完全に誤ったウェブサイトのドキュメントを悪用し、AIエージェントを介して無防備な被害者にマルウェアを配布できることが、新たな調査で明らかになりました。
現在、多くのウェブサイトがllms.txtとllms-full.txtという2種類のドキュメントを備えるようになっています。これらは、AIエージェントがウェブサイトの内容を正しく読み取れるようにするための取り決めです。AIエージェントがソフトウェアをインストールしたりプロジェクトにコードを追加したりしようとする際には、ウェブ上に存在するこれらのドキュメントを検索し、適切な解決策を見つけ出すことができます。
研究者たちは、防衛関連企業、フォーチュン500企業、大手テック企業に属する6,214件の稼働中ドメインを分析しました。その結果、これらのドメイン上に合計8,265件の.txtファイルが見つかり、そのうち120件(いずれも異なるサイト上)が、1つ以上の未登録のコードパッケージやドメイン名を指し示していることが判明しました。
パッケージとドメインの取得
これらが未登録のままになっている理由はさまざまです。人為的なミス、パッケージの名称変更や廃止、コピー&ペーストの誤り、あるいはドキュメントの幻覚などが考えられます。
そこで研究者たちは、実験の一環として、これら未登録の名称の一部を実際に登録し、インストールされると外部に通信するパッケージをホスティングしました。すると、1時間も経たないうちにフォーチュン500企業からの通信が確認され、その後もその数は「さらに数十件」にまで増えていきました。
つまり、研究者にできることであれば、サイバー犯罪者にも同じことができるということです。理論上、サイバー犯罪者はこうした未登録のパッケージを見つけ出し、そこにマルウェアを登録することが可能です。AIエージェントがシェルコマンドやパッケージマネージャーのコマンドを実行する権限を持っており、こうしたドキュメントに行き着いてしまえば、デバイスが感染する結果につながりかねません。
研究者によれば、Claude、OpenAIのCodex、Nous ResearchのHermesはいずれもこの問題に「関与していた」ということです。
この脆弱性を解消するには、2つの対策が必要です。第一に、企業側がドキュメントを整理し、存在しないコンテンツや悪意あるコンテンツを指し示していないことを確認する必要があります。第二に、AIエージェントがドキュメントを実行可能な指示として扱うのをやめる必要があります。後者がすぐに実現する可能性は低いため、当面の解決策としては前者が現実的と言えるでしょう。それまでの間、コーディングにAIを利用する組織は、AIエージェントにコマンド実行権限を与える際のリスクを十分に検討すべきです。
