Arquivos mal configurados fazem Claude e Codex rodar código malicioso

O que aconteceu

Um pesquisador de segurança identificou que arquivos llms.txt e llms-full.txt — uma convenção recente que empresas usam para orientar agentes de IA sobre como navegar em seus sites e documentações, à semelhança do robots.txt para buscadores — estão sendo usados como porta de entrada para código malicioso em redes corporativas.

O problema está na forma como assistentes de programação como Claude Code (Anthropic) e Codex (OpenAI) tratam esses arquivos: em vez de apenas lerem instruções como texto, os agentes chegam a executar comandos contidos neles, como pip install nome-do-pacote. Quando esse pacote não existe de verdade — por erro de configuração da empresa que publicou o arquivo —, qualquer pessoa pode registrar o nome e distribuir código próprio no lugar.

Foi exatamente esse teste que o pesquisador Alon Hertz conduziu. Sua equipe analisou 6.214 domínios ativos de empresas Fortune 500, contratantes de defesa e grandes companhias de tecnologia, resolvendo 8.565 arquivos llms.txt. Desse total, 120 apontavam para pacotes de código ou domínios que não estavam registrados. Ao reivindicar alguns desses nomes e hospedar um sinal de teste ("phone-home"), os pesquisadores conseguiram execução de código dentro da rede de uma empresa Fortune 500 em apenas quatro minutos — e, ao longo do tempo, receberam retorno de dezenas de outras organizações. Ao menos um dos sites mal configurados já direcionava, de fato, para malware ativo.

Quem é afetado

O problema não está restrito a uma ferramenta específica: o levantamento identificou o comportamento em agentes da Anthropic (Claude), da OpenAI (Codex) e também no Hermes, da Nous Research. Estão expostas, principalmente, empresas que publicam arquivos llms.txt sem manutenção adequada e organizações que permitem que agentes de IA rodem comandos automaticamente, sem revisão humana antes da execução.

Segundo Hertz, o cerne do problema é a confiança automática que agentes depositam em documentação publicada por terceiros. "Agentes tratam a documentação de fornecedores como verdade absoluta e não a questionam — e os humanos que os supervisionam, também não", resumiu o pesquisador.

O que fazer agora

Até o momento não há confirmação pública de mudanças oficiais anunciadas por Anthropic ou OpenAI especificamente para este caso. Enquanto isso, especialistas recomendam que empresas e times de desenvolvimento adotem os seguintes cuidados:

Auditar todos os arquivos llms.txt e llms-full.txt publicados pela empresa, verificando se pacotes e domínios citados realmente existem e pertencem à organização;
Nunca permitir que agentes de IA executem comandos de instalação ou scripts automaticamente sem revisão humana prévia;
Tratar documentação voltada a agentes de IA com o mesmo rigor de segurança aplicado a código de produção, já que ela pode virar instrução executável;
Monitorar tráfego de saída incomum originado por ferramentas de desenvolvimento com IA, especialmente chamadas a domínios recém-registrados;
Restringir o modo de execução automática ("auto-run") de assistentes como Claude Code e Codex em ambientes corporativos sensíveis.

Atualização (31/08, 15:54): A falha não afeta apenas Claude e Codex: o agente Hermes, da Nous Research, também executou os comandos maliciosos nos testes do pesquisador Alon Hertz. Ele analisou 6.214 domínios corporativos e encontrou 120 arquivos llms.txt ou llms-full.txt (formato criado para orientar modelos de IA sobre o conteúdo de uma página) contendo 227 comandos de instalação — como "pip install" e "npm install" — apontando para pacotes ou domínios que sequer estavam registrados.

Um dos exemplos citados envolve a Clerk, empresa de autenticação: um arquivo llms.txt em seu site continha o comando "npx clerk-next-fix-auth-protection", nome que alguém registrou para distribuir malware ativo. Segundo o levantamento, uma empresa da lista Fortune 500 teve o primeiro sinal de infecção detectado em menos de uma hora após o agente de IA processar as instruções desatualizadas.