Ausgangspunkt der Untersuchung war ein Scan von 6.214 Live-Domains israelischer Forscher eines Stealth-Startups, der sich auf Rüstungsunternehmen, Fortune-500-Konzerne und Big-Tech-Firmen konzentrierte. Aus den dabei gefundenen 8.265 llms.txt- und llms-full.txt-Dateien enthielten 120 – jeweils auf unterschiedlichen Domains – Verweise auf nicht registrierte Pakete oder nicht beanspruchte Domainnamen. Um die Gefahr praktisch zu demonstrieren, registrierten die Forscher eine Handvoll dieser verwaisten Namen und hinterlegten Pakete, die beim Ausführen einen „Phone-home"-Request an ihren Server schickten. Innerhalb einer Stunde meldete sich ein Fortune-500-Unternehmen; im weiteren Verlauf folgten mehrere Dutzend weitere Firmen. Die Prozess-Chains der eingehenden Anfragen belegten, dass Coding-Agenten wie Claude (Anthropic), Codex (OpenAI) und Hermes (Nous Research) die Install-Befehle automatisch ausgeführt hatten. Besonders brisant: Im LLM-File von clerk.com war das Kommando „npx clerk-next-fix-auth-protection" hinterlegt – ein Angreifer hatte den verwaisten npm-Slot zwischenzeitlich mit echter Malware belegt. Clerk hat das Problem inzwischen behoben, ob es zu tatsächlichen Infektionen kam, ist jedoch unklar. Die Forscher sehen in dem Vorfall ein strukturelles Versagen des Vertrauensmodells: Agenten behandeln Vendor-Dokumentation als Ground Truth, ohne Befehle darin zu hinterfragen – und auch die menschlichen Supervisoren tun dies häufig nicht.