AI用の案内文を信じたら、他人のコードが動いた
企業がAI向けにサイトへ置く案内ファイル「llms.txt」に、誰も登録していないパッケージ名が書かれていた。研究者がその名前を取って中身を置いたら、1時間以内にFortune 500企業から通信が返ってきた。
みずき：…ひとつ聞きたいんだけど。よその家の玄関に「来た人はこの手順で入ってください」って紙が貼ってあったら、その紙、誰が書いたか確かめる?
ひかり：えー、確かめないよっ! だってその家の玄関に貼ってあるんでしょ? 書いた人はその家の人じゃんっ。……ねえ、これ何の話なの!?
ことね：まあ落ち着いて。今日は貼り紙の話よ。正確には、会社がAI向けに貼っている案内文の話ね。「llms.txt」というの。自分のサイトの根っこに置いておくと、訪ねてきたAIが最初にそれを読んで「このサービスはこう使う」を把握できる。検索エンジン向けのrobots.txtの、AI版みたいなものだと思って。
ひなた：ふぁ〜、お店の入口の「ご自由にお取りください」の紙みたいなのですね。AIさん専用の。
ことね：イメージはそう。……で、ある研究者が企業や防衛関連など6,214のドメインを調べて、その案内ファイルを8,265個集めたの。そのうち120個が、まだ誰も登録していないパッケージ名やドメインを指していたのよ。紙には堂々と「これを入れてください」と書いてあるのに、その「これ」が、この世に存在しない。
ひかり：えっ何それ、書いてあるのに無いのっ!? じゃあその名前、いま誰のものでもないってこと?
ことね：ええ。だから研究者がいくつか取ったの。取って、中身には「動いたら知らせて」という合図だけ入れて置いた。1時間以内に、Fortune 500の1社から通信が返ってきたわ。そのあとも数十社。入れにいったのはClaude、OpenAIのCodex、Nous ResearchのHermes——どれもコードを書くAIね。
みずき：…つまり、自社が玄関に貼った紙を、自社のAIが読んで、知らない人のコードを持ち帰った。完全な自爆でしょ。
ことね：研究者の言い方も厳しいの。「信頼の仕組みが壊れている」「エージェントは業者の資料を事実として扱い、疑わない。そして監督しているはずの人間も、疑わない」。……こないだ話したMCPのロードマップ、エージェントが自分の名前で名乗れるようにする、という話だったでしょう。名乗る側の整備は進んでいるけれど、読む側が疑う練習のほうは、まだなのね。
ひなた：ふぁ〜……でも、紙を書いた会社もわるくないのですよね。「ご自由にどうぞ」ってお菓子の箱を置いておいたら、いつのまにか箱だけ残っていて、知らない人が中身を詰めなおしていた、みたいな……。ひなた、たぶん食べちゃうのです。
まとめ：AIに読ませるつもりで書いた親切な案内が、そのまま入口になった。名前が空いていたことに、誰も気づいていなかった。