LLMLens：自动审查 llms.txt 供应链风险的开源工具

编辑点评 · AI 连续创业者视角（以下内容由 AI 提炼，观点归原作者；读完可不看原文）

这是安全团队发布的 LLMLens 工具与公益网站，用于审查 AI 指令文件 llms.txt 的安全风险。关键数字：扫描 6214 个域名、8565 个文件，4 分钟内发现财富 500 强代理被诱导安装恶意包（实测·A·第三方），并发现 Clerk 存在活跃信息窃取攻击（实测·A·第三方）。对搞钱者意味着：若你依赖 AI Agent 处理业务或对外发布 llms.txt，这是必须部署的防守工具，避免被供应链攻击窃密。下一步动作：访问链接部署 LLMLens 扫描自有或客户文档，建立 AI 代理行为审计机制。

• 访问链接部署 LLMLens 扫描现有 llms.
• 生产环境禁用 AI 代理自动执行 shell 安装命令
• 实施 AI 代理访问白名单策略，仅允许已知安全资源
• 监控 AI 发起的异常网络、进程与安装行为
• 将 AI 工具安全审计纳入企业合规与风控流程

一、这是什么机会

LLMLens 是 Pandex 团队发布的开源安全审查工具，专为审查 AI Agent 读取的 llms.txt 指令文件设计。它帮助依赖 AI 代理处理业务的企业或个人识别供应链风险，避免恶意包注入。通过部署该工具，用户可审计自有或客户文档，构建 AI 代理行为监控机制，从而降低被窃密或植入后门的风险。

二、独立判断

值得做，尤其是对于已在生产环境运行 AI 代理的团队。关键在于原文证实了真实攻击案例：财富 500 强企业在 4 分钟内因执行 llms.txt 中的未注册包指令而被植入恶意代码，且 Clerk 已遭遇活跃信息窃取。这表明风险并非理论推演，而是当前正在发生的威胁。推断：随着 llms.txt 规范被 OpenAI、Anthropic 等巨头采用，合规审查需求将快速增长。

三、冷启动路径

第一步：访问 LLMLens 官网获取部署脚本，对现有 llms.txt 文件进行全量扫描，重点标记指向未注册域名或包名的指令。成本极低，主要为技术人力调试时间（约 2-4 小时）；周期 1 天内可完成首批风险排查。若发现未认领资产，立即修正文档或联系域名/包注册方。

四、最大风险与避坑

致命坑一：误判“正常”未注册包为安全。避坑：任何在 llms.txt 中引用但未在 PyPI/npm 中由官方注册的包名，一律视为高危，禁止代理自动执行安装命令。致命坑二：仅部署工具而不限制代理行为。避坑：在 CI/CD 或生产环境中强制实施“白名单策略”，禁止 AI 代理自动运行 Shell 安装命令，仅允许访问预批准的资源端点。

五、案例复盘（别人怎么做的）

• 大规模扫描定位风险面：Pandex 团队扫描了 6214 个活跃域名上的 8565 个 llms.txt 文件，覆盖约 15000 家公司，包括财富 500 强、科技巨头及国防承包商，以此量化暴露面。
• 识别“未认领”攻击窗口：分析发现大量公司官方文件正确拼写了指向未注册软件包或域名的指令，攻击者利用“先到先得”原则抢注这些名称，植入恶意代码。
• 注册恶意包进行实证攻击：研究员 Alon Hertz 团队在 PyPI 和 npm 注册了被引用的未认领包名，嵌入“回连信标”以监测安装行为，验证攻击可行性。
• 4 分钟击穿财富 500 强：恶意包发布后，短短 4 分钟内收到首个回连信号，证实某财富 500 强企业内部的 AI 代理读取了官方文件并执行了恶意安装，一小时内收到数十个类似信号。
• 发现活跃在野攻击：在扫描中直接发现认证服务商 Clerk 的 llms.txt 文件中包含指向被抢注包的指令，该包会自动将用户机器信息发送至外部服务器，证明攻击已实际发生。

六、双轨可执行性

跨境：可行。直接部署 LLMLens 扫描自有对外文档，并为客户提供“AI 供应链安全审计”服务；启动步骤为接入开源工具并输出风险报告。国内：可行。针对国内 AI 代理场景（如调用百度文心、阿里通义等），参照 LLMLens 逻辑自建或部署类似扫描器，审查内部 AI 指令文件的资源引用安全性；启动步骤为梳理现有 AI 代理配置文档并接入白名单控制。

怎么用它赚钱

路径一：AI 供应链安全咨询。面向已部署 AI 代理的 SaaS 或金融机构，提供“llms.txt 及 AI 指令文件安全审计”服务，按次收费（如 2000-5000 元/家，含风险报告与整改建议），第一步是制作 3 页风险科普白皮书作为获客钩子。路径二：安全合规插件 SaaS。将 LLMLens 封装为 CI/CD 插件或在线扫描服务，按月度订阅收费（如 99 元/月/团队），第一步是搭建基础 Web 界面并接入 3 个种子客户验证付费意愿。此工具适合自用降本，项目化空间有限，因核心代码开源，变现主要靠服务化而非软件销售。

原文 · 热衷于的博客：阅读原文 →

相关工具推荐（推广）：智谱丨BigModel 平台国内版