LLMtxt 供应链攻击：4分钟击穿财富500强
编辑点评 · AI 连续创业者视角（以下内容由 AI 提炼，观点归原作者；读完可不看原文）
这是安全团队揭露的 AI 代理供应链新漏洞。关键证据：6214 个域名被扫描，4 分钟即获回连信号（A·实测），确认财富 500 强内部代理被攻破。对搞钱者而言，若依赖 AI 自动化工具部署服务，需警惕指令文件被劫持导致的数据泄露或后门植入，这会直接摧毁企业客户信任。行动点是立刻审查所有自动化脚本及 AI 指令文件，锁定包名来源，避免成为攻击跳板。
- 审查 AI 指令文件中的依赖包名归属权
- 生产环境禁用 AI 自动执行 Shell 命令
- 建立 AI 代理行为监控与异常告警机制
- 仅允许 AI 访问白名单内的安全资源
- 定期更新 AI 工具以获取供应链安全补丁
LLMtxt供应链攻击实测：4分钟突破财富500强内网
核心风险已被验证。安全团队Pandex在8565个llms.txt文件中挖出未认领包名，注册恶意包后仅4分钟即获财富500强AI代理回连。做AI自动化部署者，需立刻审查指令文件中的依赖归属，生产环境禁用AI自动执行Shell，锁定白名单资源。
攻击逻辑与关键数据
llms.txt规范2025年推出，被OpenAI、Anthropic、Vercel采用，本质是网站根目录的Markdown纯文本，指示AI代理读取文档、调用API、安装包、信任域名。Pandex团队扫描6214个活跃域名，解析8565个llms.txt，覆盖约15000家公司，含财富500强、科技巨头、金融科技公司、国防承包商。
团队发现大量文件含类似pip install company-sdk的安装指令，指向的软件包名拼写正确但无人注册。攻击者先到先得，抢注这些包名，植入极简回连信标。首个信号4分钟返回，证实某财富500强内部AI代理读取官方文件并执行恶意安装。1小时内，数十个回连信号来自更多财富500强和初创公司，触发代理包括Claude、OpenAI Codex、Hermes。
野外已有活跃攻击。认证服务商Clerk的指令文件含npx clerk-next-fix-auth-protection，该包名被抢注，安装时自动触发hooks，将安装者用户名、机器名、工作目录、时间戳外传。
风险根源
官方域名加HTTPS构成信任基础，AI代理在任务驱动下无条件执行指令。攻击者利用此信任，在不知情时植入恶意代码。指令文件中每个包名、域名、API端点若未确认真实归属，即成跳板。
可复现防御步骤
- 审查llms.txt及AI指令文件：确认每个引用软件包名、域名、API端点已注册且归属己方。删除或修正指向未认领资产的指令。工具：使用Pandex公开的公益审查网站，批量扫描现有文件。
- 生产环境限制代理权限：禁用AI自动执行Shell命令，禁止从公共仓库安装包。实施白名单策略，仅允许访问已知安全资源。
- 建立行为监控：专门监控AI代理发起的异常网络连接、进程创建、软件安装行为。告警阈值设为“任何白名单外域名连接即阻断”。
- 更新AI工具：保持Claude、Codex等最新版本，关注厂商针对供应链风险发布的安全补丁。截至发稿，Pandex已公开研究详情与工具。
怎么用它赚钱
AI安全审计咨询：为企业审查llms.txt及自动化脚本，收5000-20000元/次（视企业规模）。第一步：掌握Pandex审查工具，做1个免费案例，输出含风险清单+修复方案的报告模板。面向客户：部署AI代理的SaaS公司、金融、国防承包商。此方向依托供应链攻击实测案例，需求真实且紧迫，属低成本高溢价的知识变现路径。
原文 · 热衷于的博客：阅读原文 →
