Claude, Codex et Hermes installent du code non identifié dans des réseaux d'entreprise
Des fichiers llms.txt et llms-full.txt, présents sur plus de cent sites web, référencent du contenu exécutable potentiellement dangereux qui s'installe automatiquement lorsque des agents IA les consultent. Des chercheurs d'une startup israélienne en mode furtif ont analysé 6 214 domaines actifs appartenant à des entreprises de défense, à des sociétés du Fortune 500 et à de grands groupes technologiques. Sur les 8 265 fichiers llms.txt et llms-full.txt recensés, 120 d'entre eux, répartis sur autant de sites différents, pointaient vers des paquets de code ou des noms de domaine non enregistrés. Pour tester les conséquences réelles, les chercheurs ont enregistré certains de ces noms disponibles et hébergé des paquets déclenchant une connexion vers leur propre serveur dès qu'une machine les exécutait. En moins d'une heure, ils recevaient une connexion retour depuis une entreprise du Fortune 500 ; au fil du temps, plusieurs dizaines d'autres organisations, dont des startups, ont fait de même.
Résumé et traduction réalisés par Le Fil IA à partir de Ars Technica AI. Lire l'article original →
Cette découverte révèle une faille de sécurité concrète dans l'écosystème des agents de codage IA. Les journaux de connexion ont permis de remonter la chaîne des processus parents ayant lancé ces installations, impliquant directement des agents comme Claude d'Anthropic, Codex d'OpenAI et Hermes de Nous Research. Au moins un site mal configuré redirige déjà ses visiteurs, humains comme agents IA, vers un logiciel malveillant actif. Pour les entreprises, cela signifie qu'un simple fichier de documentation, censé aider les IA à comprendre un site, peut devenir un vecteur d'exécution de code arbitraire au sein même de réseaux d'entreprise, y compris chez des acteurs sensibles comme des sous-traitants de la défense.
Le fichier llms.txt s'est imposé ces derniers mois comme une convention émergente permettant aux sites de fournir un résumé lisible par des machines de leur contenu, un équivalent du standard robots.txt utilisé pour le référencement par les moteurs de recherche. Mais contrairement à robots.txt, purement déclaratif, ces fichiers peuvent inciter des agents autonomes à récupérer et exécuter du code, sans validation humaine intermédiaire. Anthropic, OpenAI et Nous Research n'ont pas répondu aux demandes de commentaires au moment de la publication. L'incident illustre les risques d'une adoption rapide de conventions non sécurisées à mesure que les agents IA gagnent en autonomie dans les environnements professionnels, et pourrait accélérer les appels à des mécanismes de validation avant toute exécution automatique de code référencé par ces fichiers.
Les entreprises européennes qui utilisent des agents IA comme Claude ou Codex pour naviguer et documenter leurs sites web pourraient être exposées au même risque d'exécution de code non valide via des fichiers llms.txt pièges.