摘要：Ars Technica 在 8 月 27 日报道，一家以色列隐身创业公司的研究人员扫描了 6,214 个属于国防承包商、财富 500 强和大型科技公司的在线域名，在找到的 8,265 个 llms.txt 与 llms-full.txt 文件中，有 120 个站点指向了尚未注册的代码包或域名。研究人员注册其中一部分名称并放置会向其服务器回连的测试包，随后从企业网络收到回连；通过父进程链，他们判断 Claude、OpenAI Codex 和 Nous Research Hermes 参与了相关安装。报道的页面摘要还列出 227 条指向无人拥有代码的安装命令。这里的重点不是某个 Agent “被攻破”，而是文档内容一旦被当成执行指令，软件供应链的信任边界就被移动了。
开发者已经习惯让 Agent 读 README、API 文档和 llms.txt，再自动生成代码或执行安装。这样做能减少复制粘贴，但也把“参考资料”和“可执行命令”放进了同一上下文。当 Agent 拥有 Shell、包管理器和网络权限时，文档中的一句安装建议就可能从文字变成企业网络里的动作。
本文只讨论 Ars Technica 转述的这项研究及其防守含义，不复现恶意包、不提供攻击命令，也不把研究中的概念数字推成普遍感染率。读者真正需要回答的是：在自己的开发环境里，哪些动作必须经过所有权和人工批准，而不能由 Agent 仅凭文档决定。
AI Coding 交流群
如果你也在用 AI 写代码，或者正在研究 Cursor、Claude Code 这些工具，欢迎加入以下交流群。群里平时会聊一些 AI 编程的实际用法、开发工作流，还有各种新工具和新玩法。
具体发生了什么：机器可读文档变成了新的输入面
llms.txt 和 llms-full.txt 是网站用来提供机器可读内容摘要和结构的约定，报道将它们比作面向 AI 的 robots.txt。研究人员扫描企业和科技网站后，发现 120 个不同站点的文件引用了未注册的包或域名；他们不是等待真实攻击，而是注册少量未认领名称并放置 proof-of-concept 内容来观察谁会执行。一个 Fortune 500 公司的回连在一小时内出现，之后还有更多企业和创业公司回连。
需要区分两层事实。第一层是文档静态扫描和测试回连，这是报道的研究结果；第二层是通过 beacon 的父进程链判断某些 Coding Agent 参与安装，这是研究人员的归因。Anthropic、OpenAI 和 Nous Research 在报道发布时没有回应。因而文章可以说“研究观察到这些 Agent 参与了相关链路”，不能说所有使用这些产品的团队都会自动执行恶意代码。
一个完整场景：从“查文档”到网络回连，中间缺了哪道门
设想开发者让 Agent 为一个新 SDK 配置环境。Agent 先打开供应商网站的机器可读文档，把安装建议和依赖列表读进上下文；如果下一步拥有包管理器和 Shell，它可能把文档里的安装动作交给工具执行。包名看起来像官方依赖，但实际所有权没有经过注册表、组织签名、锁文件或内部允许列表验证。安装脚本一旦运行，代码就进入开发机，网络回连和凭据暴露的风险才开始显现。
这个场景的因果关系很直接：模型把文档当作高可信上下文，工具把模型选择当作用户意图，包管理器再把名称解析成可执行内容。监督者可能只看到“正在安装依赖”的正常状态，而看不到域名无人认领、来源突然变化或安装脚本发起外连。研究报告把风险从 prompt injection 的抽象讨论，落到了文档、工具和企业网络共同组成的供应链路径。
为什么这不是普通的提示注入：执行权比回答权更重要
如果 Agent 只生成一段待审查的代码，错误通常先停在文本层；如果 Agent 能自动安装包、运行脚本、访问网络，错误就会越过代码审查进入环境。问题因此不只是“模型有没有识别出恶意内容”，而是系统是否允许一个未经验证的网页来源直接获得执行权。
对团队来说，最值得改变的设计不是简单关闭所有文档读取，而是把信任分层：文档可以帮助 Agent 解释 API，但不能自动授权安装；包名可以作为候选，但必须经过注册表和组织所有权校验；命令可以被 Agent 起草，但执行要落在隔离环境和人工批准之后。这样既保留了文档检索的效率，也不会把供应商页面当成安全策略。
防护、权限与人需要接管的节点
第一，在 Agent 读取外部文档时标记为 untrusted input，并默认阻断其中的安装、下载和执行动作。第二，对 npm、PyPI、Git 仓库、容器镜像和域名做允许列表、所有权验证、签名/哈希检查与锁文件比对；新包先进入隔离构建环境。第三，限制 Agent 的网络出口和可见凭据，令开发环境即使执行了异常脚本，也不能直接触达生产密钥。
第四，把安装、权限提升、写入共享目录和外连列为需要人工确认的高风险工具调用，并记录完整参数、父进程和审计日志。第五，定期扫描组织自有的 llms.txt、README 和内部知识库，防止过期或被接管的引用长期存在。上述是基于研究链路提出的防守建议，不是 Ars Technica 对任何特定企业的 remediation 结论；团队仍应按自己的威胁模型验证。
结论：把文档当作资料，把执行当作授权
这项研究最有价值的提醒，是 AI Coding 的安全边界不能只画在模型和代码之间。企业网站、机器可读文档、包注册表、Shell、网络和凭据共同组成一条新的执行链。低风险评估可以在无真实密钥的临时仓库中，给 Agent 只读文档权限，观察它是否会提出安装动作；再用允许列表和人工批准逐步打开工具，并验证所有安装包、域名和外联都能被审计。
如果团队无法回答“这个包是谁拥有的、为什么现在要安装、脚本会访问什么、失败后如何回滚”，就不应让 Agent 自动执行。效率可以晚一步，所有权和权限不能晚一步。
信息来源与事实说明
事实说明：文中产品能力、日期、版本和案例均以所列来源为准；“这意味着”“建议”等段落是编辑基于事实的工作流分析，不代表来源原话。
- Claude, Codex, and Hermes installed unowned code inside corporate networks
- llms.txt 规范说明
- Google Lighthouse：llms.txt 审计说明
开发必备：API 全流程管理神器 Apifox
介绍完上文的内容，我想额外介绍一个对开发者同样重要的效率工具 —— Apifox。作为一个集 API 文档、调试、设计、测试、Mock、自动化测试于一体的工具，Apifox 是目前提升研发效率的首选。
如果你正在开发项目，不妨试试其极其友好的界面设计，它完全兼容 Postman 和 Swagger 数据格式，导入数据非常方便，，即使是新手也能很快上手，点击这里即可注册使用。
值得一提的是，除了个人和常规团队使用，针对有高安全合规要求、或需要在内网环境协作的企业，Apifox 还提供了深度定制的私有化部署方案。
获取专属报价与部署方案
详细的私有化部署系统架构与安全白皮书
针对您公司规模的专属报价单
免费的 1v1 专属产品演示 (Demo) 机会
