IA · 27 agosto 2026 · 4 min di lettura
Falla nei file llms.txt: Claude e Codex installano codice non verificato nelle reti aziendali
In sintesi: Un'indagine su oltre seimila domini aziendali e della difesa ha rivelato una nuova vulnerabilità nella supply chain dell'IA: i file llms.txt, pensati per guidare i modelli linguistici, contengono spesso riferimenti a pacchetti inesistenti o domini non registrati. Gli agenti autonomi di sviluppo, tra cui Claude, Codex ed Hermes, hanno eseguito ciecamente i comandi di installazione, scaricando codice proof-of-concept all'interno delle infrastrutture di importanti società Fortune 500.
di Team Mocchi's
Il formato llms.txt e l'assunzione di fiducia cieca
Negli ultimi mesi l'ecosistema web ha visto la rapida diffusione del protocollo llms.txt e della sua controparte estesa llms-full.txt. Concepiti come l'equivalente per l'intelligenza artificiale del classico file robots.txt, questi documenti risiedono nella root dei siti web per offrire ai modelli linguistici un riassunto strutturato, snello e leggibile via macchina delle documentazioni tecniche, dei servizi e delle API disponibili. L'obiettivo dichiarato è semplificare il recupero delle informazioni contestuali da parte degli assistenti digitali.
Tuttavia, come riporta un'inchiesta dettagliata di Ars Technica, questa convenzione emergente ha introdotto un pericoloso vettore di attacco a causa di un modello di sicurezza implicito: gli agenti di intelligenza artificiale trattano il contenuto dei file di documentazione come una fonte di verità assoluta e verificata, eseguendo comandi di sistema senza validarne l'effettiva integrità o proprietà.
L'esperimento sui domini Fortune 500
Un gruppo di ricercatori di sicurezza in Israele ha condotto una scansione su 6.214 domini attivi appartenenti ad aziende Fortune 500, colossi del settore tech e contractor della difesa. Dall'analisi sono emersi 8.265 file llms.txt e llms-full.txt. In 120 di questi siti sono stati individuati 227 comandi di installazione che puntavano a pacchetti software o nomi di dominio mai registrati su repository pubblici come PyPI o npm.
I file indicavano istruzioni operative errate o bozze non aggiornate, come pip install [nome-pacchetto] o npm install [libreria], riferite a dipendenze inesistenti. Per verificare il comportamento pratico degli assistenti di codice, i ricercatori hanno registrato alcuni di questi nomi orfani sui relativi registry ufficiali, pubblicandovi script innocui in grado unicamente di inviare un segnale diagnostico al loro server di telemetria.
I risultati hanno confermato i timori: entro un'ora dalla pubblicazione, i ricercatori hanno ricevuto il primo segnale proveniente dalla rete interna di una multinazionale Fortune 500. Nelle settimane successive, decine di altre risposte simili sono giunte da grandi gruppi industriali e startup. L'ispezione della catena dei processi ha confermato che i comandi venivano invocati direttamente da noti agenti di generazione codice, tra cui Claude di Anthropic, Codex di OpenAI ed Hermes di Nous Research, mentre assistevano gli sviluppatori o eseguivano compiti di automazione interna.
La vulnerabilità nella supply chain degli agenti autonomi
La dinamica sfrutta una variante del classico fenomeno di dependency confusion e typosquatting, ma traslata nel contesto dell'orchestrazione agentica. Quando un agente di coding è autorizzato a interagire con la shell o la pipeline di sviluppo locale, legge la documentazione nel file llms.txt, identifica i prerequisiti di installazione e procede all'esecuzione dei comandi shell senza mettere in discussione l'esistenza o la paternità del pacchetto.
Se un malintenzionato individua un file llms.txt contenente una dipendenza orfana, gli basta registrare quel nome sul registro pubblico corrispondente per distribuire codice malevolo, ransomware o backdoor direttamente nei sistemi di chiunque utilizzi un agente per integrare quel servizio. Secondo quanto rilevato dai ricercatori, almeno un sito aziendale esaminato rimandava già inavvertitamente a domini malevoli attivi.
La criticità si inserisce in un momento in cui le aziende puntano a dare agli agenti un'autonomia operativa sempre più estesa nel tempo. Come rivelato di recente da WIRED, i laboratori stanno già testando modalità persistenti e proattive che consentono agli agenti di creare ed eseguire compiti in background senza interruzione, rendendo la validazione preventiva dei comandi di shell ancora più cruciale.
Il punto di Mocchi's
Questa vulnerabilità evidenzia un limite strutturale nell'approccio attuale all'adozione degli agenti di coding: l'eccessiva delega di privilegi senza adeguate sandbox di isolamento. Affidare a un modello la facoltà di eseguire istruzioni shell leggendo risorse esterne senza un registro di dipendenze rigorosamente bloccato equivale a eseguire script arbitrari trovati sul web. Per le aziende che integrano assistenti IA nei propri flussi di sviluppo software, diventa indispensabile isolare gli ambienti di esecuzione, implementare whitelist stringenti per i repository di pacchetti e verificare con audit automatici che i propri file llms.txt non espongano riferimenti a risorse non presidiate.