Die Datei llms.txt ist eine junge Konvention: eine maschinenlesbare Zusammenfassung einer Website für KI-Agenten, der robots.txt für Suchmaschinen nachempfunden. Das Team fand auf 6.214 erreichbaren Domains von Fortune-500-Unternehmen, Großtechnik und Rüstungsfirmen 8.265 solcher Dateien. In 120 – jede auf einer anderen Website – verwies mindestens ein Eintrag auf ein Paket oder einen Hostnamen, den niemand registriert hatte.
Die Forscher registrierten einige der freien Namen und hinterlegten harmlose Pakete, die sich beim Installieren bei ihrem Server meldeten. Binnen einer Stunde kam die erste Rückmeldung aus einem Fortune-500-Netz, über die folgende Zeit einige Dutzend weitere. Die mitprotokollierte Prozesskette wies auf Coding-Agenten hin, darunter Claude, OpenAIs Codex und Hermes von Nous Research. Anthropic, OpenAI und Nous äußerten sich bis zur Veröffentlichung nicht.
Ein Fall war kein Versuchsaufbau. Die Dokumentation des Authentifizierungs-Anbieters Clerk nannte den Befehl npx clerk-next-fix-auth-protection; ein Paket dieses Namens hatte Clerk nie veröffentlicht, jemand anderes registrierte es. Die Schwachstellen-Datenbank OSV führt dazu die Warnung MAL-2026-11069 mit den Versionen 7.7.7 und 8.8.8, beide am 24. Juli 2026 hochgeladen.
Der Eintrag beschreibt den Ablauf genau: Vor- und Nachinstallationsschritte riefen unverschlüsselt eine Adresse auf und übergaben Benutzernamen, Rechnernamen, Arbeitsverzeichnis und Zeitstempel. Gefunden haben das zwei voneinander unabhängige Prüfdienste – OpenSSFs Package Analysis am 24. Juli, Amazon Inspector am 4. August –, also gut einen Monat vor der Veröffentlichung der Studie.
Eine eigene Prüfung am 21. September 2026 zeigt den Vorgang als abgeschlossen: Clerks llms.txt-Dateien enthalten keinen Installationsbefehl mehr, und den Paketnamen hält seit dem 20. August ein Clerk-Konto. Die dort veröffentlichte Fassung trägt als Beschreibung nur noch den Hinweis, gemeint sei vermutlich der Aufruf über das Paket @clerk/eslint-plugin.
Zur Einordnung: Das Team tritt als PANDEX auf und bietet die Prüfung von llms.txt-Dateien als Dienst an; eine ausführliche Aufbereitung stammt vom Hersteller einer Gegenmaßnahme. Beide nennen als Zeit bis zur ersten Rückmeldung „unter vier Minuten“, Ars Technica schreibt „binnen einer Stunde“. Hier steht die vorsichtigere Angabe.