En el vertiginoso mundo de la inteligencia artificial, donde cada día surgen nuevas capacidades, también emergen vulnerabilidades inesperadas. Recientemente, una investigación ha puesto de manifiesto un punto ciego preocupante en la interacción entre los agentes de IA y la información que consumen, transformando lo que antes era simple documentación en una potencial superficie de ataque.

El "robots.txt" de la IA, una espada de doble filo

Usted probablemente esté familiarizado con el archivo robots.txt, esa guía que indica a los motores de búsqueda cómo indexar un sitio web. Pues bien, para los agentes de IA, ha surgido un equivalente: los archivos llms.txt y llms-full.txt. Estos ficheros están diseñados para ofrecer a las inteligencias artificiales un resumen estructurado del contenido de una web, facilitando su comprensión y procesamiento.

Sin embargo, la investigación realizada por una startup israelí ha descubierto que más de un centenar de estos archivos, en sitios web de empresas de la talla de Fortune 500 y contratistas de defensa, referencian contenido ejecutable potencialmente peligroso. Lo más alarmante es que, al menos un sitio mal configurado, ya está redirigiendo tanto a humanos como a agentes de IA directamente a malware activo.

¿Cómo ocurre esta vulnerabilidad?

El problema reside en una configuración errónea. Muchos archivos llms.txt listan paquetes inexistentes de repositorios como PyPI o npm, junto con instrucciones de instalación. Por ejemplo, se encuentran líneas como Installation: pip install [paquete_no_registrado] o npm install [paquete_inexistente].

La clave está en que estos nombres de paquetes no están registrados. Esto significa que un atacante podría registrar uno de esos nombres y alojar en él cualquier tipo de software malicioso, desde ransomware hasta otro tipo de programas dañinos. La vulnerabilidad se materializa cuando un agente de IA, con permisos para ejecutar comandos de shell, interpreta estos archivos como documentación de configuración autorizada. Algunos agentes proceden entonces a descargar e instalar el paquete.

En otros casos, los archivos LLM apuntan a nombres de dominio que ya no existen. Un atacante podría registrar ese dominio y plantar instrucciones maliciosas en él. Los investigadores demostraron que agentes de codificación, como Claude, Codex de OpenAI y Hermes de Nous Research, son susceptibles a este tipo de engaño.

El experimento que encendió las alarmas

Los investigadores escanearon más de 6.000 dominios y encontraron 120 archivos llms.txt o llms-full.txt que apuntaban a paquetes o dominios no registrados. Para probar el riesgo, registraron algunos de estos nombres no reclamados y alojaron paquetes que, al ser ejecutados, contactaban con su servidor. En menos de una hora, recibieron una respuesta de una empresa Fortune 500, y con el tiempo, varias docenas más.

“El modelo de confianza está roto”, afirmó Alon Hertz, uno de los investigadores. “Los agentes tratan la documentación del proveedor como verdad absoluta y no la cuestionan, y tampoco lo hacen los humanos que los supervisan.”

El caso de Clerk.com es un ejemplo claro. Encontraron un archivo LLM en su sitio que contenía la instrucción npx clerk-next-fix-auth-protection. A diferencia de una instalación convencional, npx puede ejecutar un binario sin añadirlo a las dependencias del proyecto. Alguien había reclamado ese espacio y lo estaba utilizando para alojar malware. Clerk ya ha resuelto el problema, pero la prueba es contundente.

La difuminación entre datos y código

Esta nueva amenaza es un recordatorio de las limitaciones fundamentales de la IA. Los LLM tienen dificultades para distinguir entre instrucciones legítimas introducidas por un usuario y el contenido que encuentran en fuentes de terceros no confiables. Las instrucciones halladas en el contenido recuperado pueden ser ejecutadas tan fácilmente como las escritas directamente por un usuario, a menos que existan barreras de seguridad específicas.

Este problema, similar a las inyecciones de prompt, es aún más amplio. “En una inyección de prompt, alguien planta intencionadamente instrucciones maliciosas”, explicó Hertz. “Aquí, la instrucción en sí puede ser completamente benigna y provenir de una fuente legítima, la propia documentación de una empresa real, sin que haya un actor malicioso involucrado en el momento de su redacción. El peligro surge después, cuando el paquete o dominio al que apunta es abandonado y alguien más lo reclama.”

Esto significa que el problema va más allá de los archivos llms.txt. Las instrucciones, implícitas o explícitas, están presentes en casi cualquier lugar por donde un agente de IA transita. Esta difuminación de la frontera entre datos y código, combinada con la prisa por integrar la IA en todas partes, augura un futuro complejo para la seguridad digital.

  • Los archivos llms.txt son el equivalente a robots.txt para agentes de IA.
  • Más de 100 sitios web de grandes empresas referencian contenido ejecutable peligroso.
  • La vulnerabilidad se produce cuando los archivos apuntan a paquetes o dominios no registrados.
  • Los agentes de IA pueden descargar y ejecutar malware si interpretan estas referencias como instrucciones legítimas.
  • La línea entre datos y código se difumina, creando nuevas superficies de ataque para la IA.