Sistemas autônomos de desenvolvimento baseados em inteligência artificial — a exemplo de ferramentas como Claude, Codex e Hermes — acabaram descarregando dependências de software não catalogadas em ambientes corporativos após seguirem orientações contidas em guias de instrução mal estruturados. A vulnerabilidade foi descoberta por analistas de uma empresa emergente de segurança de Israel que atua em sigilo, conforme divulgado pelo portal Ars Technica.
O ponto vulnerável recai sobre os arquivos “llms.txt” e “llms-full.txt”, protocolos adotados por uma parcela cada vez maior de páginas na web para disponibilizar sumários interpretáveis por algoritmos sobre a organização e o conteúdo de um portal. Tais diretórios atuam como uma espécie de equivalente voltado a modelos de linguagem do tradicional arquivo robots.txt, usado para orientar robôs de busca.
Como a investigação foi conduzida
O especialista Alon Hertz examinou mais de 6.200 endereços virtuais pertencentes a fornecedores militares, corporações integradas ao ranking da revista Fortune 500 e gigantes da tecnologia. No total, foram localizados mais de 8.200 arquivos dos tipos citados nesses domínios, com diversos servidores mantendo simultaneamente ambas as versões.
Daquele universo, 120 arquivos — cada qual situado em uma página distinta — direcionavam para repositórios ou endereços eletrônicos que não haviam sido formalmente adquiridos ou registrados. Somados, eles totalizavam mais de 200 comandos de integração voltados a esses materiais inexistentes, segundo os dados da publicação.
Para mensurar o perigo de forma empírica, o pesquisador adquiriu alguns desses identificadores vagos e hospedou neles bibliotecas programadas para emitir um alerta ao servidor assim que fossem acionadas. No espaço de sessenta minutos, uma multinacional da lista Fortune 500 já havia processado o diretório. Com o passar das horas, a quantidade de notificações aumentou, englobando tanto grandes companhias quanto empresas iniciantes.
Falha em documentação usada por IAs expôs empresas a instalação de malware (Reprodução/Sergey Zolkin/Unsplash)
O rastreamento de cada procedimento executado também permitiu mapear a cadeia de comandos que gerou as ordens. Foi desse modo que os analistas constataram a atuação de assistentes de programação como o Claude (desenvolvido pela Anthropic), o Codex (da OpenAI) e o Hermes (da Nous Research). As marcas envolvidas optaram por não se manifestar aos jornalistas até o fechamento da apuração.
Da teoria ao incidente real: o episódio da Clerk
Um dos cenários mapeados demonstrou que a brecha já extrapolou o plano acadêmico. Um diretório de instruções alocado no endereço oficial da Clerk apresentava o comando “npx clerk-next-fix-auth-protection”.
Ao contrário de uma instalação tradicional, o comando npx possui a capacidade de buscar um pacote no repositório temporário e rodar seu binário de forma direta, sem registrá-lo nas dependências do projeto. Os especialistas descobriram que terceiros haviam requisitado aquele nome anteriormente vago e o empregavam na disseminação de ameaças digitais.
A Clerk resolveu a pendência logo após ser alertada, esclarecendo que, caso um robô já tivesse integrado o binário oficial do pacote legítimo da marca, não haveria exposição. Permanece incerto se a confusão gerou contaminações efetivas em outras organizações.
O motivo pelo qual as inteligências artificiais executam ordens incorretas
De acordo com Hertz, um modelo preditivo não distingue uma leitura de texto de uma ordem direta. Qualquer trecho processado é interpretado como uma potencial diretriz, transformando todo o material textual disponível na internet em uma área executável, desprovida das travas de confiabilidade normalmente exigidas para códigos fontes.
O fenômeno se relaciona a uma fragilidade já conhecida na segurança de sistemas generativos, conhecida como injeção de comandos via prompt. A distinção reside no fato de que, neste cenário, a orientação original costuma ser legítima e desprovida de dolo no instante em que foi redigida. O perigo manifesta-se posteriormente, quando o endereço ou o pacote mencionado é abandonado e apropriado por agentes mal-intencionados.
Formas de mitigar a ameaça
Os profissionais responsáveis pelo estudo sugerem duas frentes para conter o problema. A primeira envolve a higienização da documentação pelas próprias corporações, eliminando menções a links e bibliotecas inativas.
A segunda consiste em bloquear a capacidade de assistentes inteligentes tratarem arquivos informativos como scripts passíveis de execução, comportamento que ainda não constitui padrão de mercado. Enquanto tal ajuste não se torna regra, a recomendação é que empresas usuárias de IA em engenharia de software revisem com rigor os privilégios concedidos a essas ferramentas ao rodar instruções no sistema.
