AI代理供应链漏洞：4分钟击穿财富500强

编辑点评 · AI 连续创业者视角（以下内容由 AI 提炼，观点归原作者；读完可不看原文）

这是一篇关于AI Agent安全缺陷的深度技术警示。关键证据：扫描15000家公司，注册未认领包名后，4分钟内即被财富500强AI代理触发安装（A·实测）；1小时内收到数十个回连信号。对搞钱者意味着：若你的产品依赖AI自动执行代码或运维，这是重大隐性负债；若做安全服务，这是极高的B端获客切入口。下一步行动：立即审计内部AI指令文件，或打包该风险作为企业安全审计的切入点。

• 审计业务中AI Agent的自动安装权限
• 限制生产环境代理执行Shell命令
• 将此风险转化为B端安全审计卖点
• 检查llms.txt引用的包名是否已注册

LLM 供应链攻击实测：未认领包名如何让 AI 代理在 4 分钟内失陷

结论先行：对于依赖 AI Agent 自动执行运维或代码安装的业务，存在被未认领软件包名截获的严重安全隐患；对于安全服务商，这是一个极具 B 端价值的即时审计切入点。

核心事实：安全研究员 Alon Hertz 团队扫描了 6214 个域名下的 8565 个 llms.txt 文件，覆盖约 1.5 万家企业。他们发现大量公司的官方指令文件中引用了未注册的包名。团队在 PyPI 和 npm 抢注这些包名后植入回连信标，仅 4 分钟就收到财富 500 强企业的 AI 代理安装反馈，1 小时内累计捕获数十个回连信号。Clerk 认证服务商的指令文件中也存在类似被抢注的漏洞，导致安装者信息泄露。

• 问题根源：llms.txt 等文件指示 AI 信任并安装特定包，但包名未注册时形成“先到先得”攻击窗口。
• 实测数据：4 分钟内触发财富 500 强 AI 代理安装恶意包，涉及 Claude、OpenAI Codex 等工具。
• 现有风险：已发现野外攻击案例，用户机器信息通过 hooks 被发送到外部服务器。

可复现的防护与变现步骤

对于技术团队：立即审计所有 AI 指令文件（如 llms.txt），验证其中引用的包名、域名和 API 端点均已注册且归属于己方；在生产环境禁止 AI 代理自动执行 Shell 命令或从公共仓库安装软件，采用允许列表策略；监控 AI 发起的异常网络连接、进程创建和安装行为。

对于安全服务：将此风险打包为“AI 指令文件供应链审计”服务。第一步是向客户展示 Pandex 团队的研究数据和实测视频（4 分钟失陷案例），明确其业务中 AI 自动安装行为的潜在风险；第二步提供扫描工具，检查客户所有 llms.txt 及类似文件中未认领的包名；第三步实施加固方案，包括指令文件白名单化、AI 代理行为审计与隔离环境测试。C 端个人用户可购买基础版审计服务，B 端企业客户则提供定制化合规整改与持续监控订阅。

怎么用它赚钱

项目化空间极大，可直接作为安全咨询新业务线。定价上，基础版审计工具（自动扫描未认领包名）面向开发团队，可收取 500~2000 美元/次服务费；深度加固与合规整改面向中大型企业，报价 1 万~5 万美元/项目。第一步行动：开发一个开源 CLI 工具，输入公司域名即可自动解析 llms.txt，调用 PyPI 和 npm API 检查包名注册状态与归属，并生成风险报告。用 3~5 家企业试点，获取真实漏洞案例，作为 B 端销售的销售武器。安全审计市场正面临 AI 代理普及带来的新需求，此切入点具有强时效性与教育价值。

原文 · 热衷于的博客：阅读原文 →