Exempeladressen som ingen reserverade
Dokumentation är full av platshållaradresser. De flesta är example.com, som Internet Assigned Numbers Authority håller permanent så att ingen någonsin kan registrera den. Två av de vanligaste alternativen ägs inte av någon.
yoursite.com och your-domain.com förekommer i ungefär 350 000 filer på GitHub och citeras av 349 färdigheter för AI-agenter, enligt forskning publicerad av Manifold Security. Båda går att registrera, båda har registrerats, och båda skickar nu besökare till bedrägerier.
Den ursprungliga dokumentationen ändrades inte. Länken i den ändrades inte. Det som ändrades är vem som svarar när något följer den.
Vad domänerna levererar
your-domain.com levererar skrämselprogram utklädda till säkerhetsprogram för macOS, med falska virusvarningar som erbjuder rabatterad antivirusförnyelse, och förfalskade nyhetssidor byggda för att likna BBC-artiklar som marknadsför investeringsupplägg.
yoursite.com slussar macOS-besökare till påhittade nyhetsartiklar — forskarna pekar särskilt ut sidor gjorda för att likna tyska ZDF — som gör reklam för investeringsbedrägerier. Besökare på andra system får en vanlig parkerad sida och märker ingenting.
Den selektiviteten är skälet till att detta gick obemärkt förbi. Det är också mekanismen: omdirigeringen till bedrägeriet utlöses först efter att sidans JavaScript körts. En statisk kontroll som hämtar adressen och läser svaret ser en parkeringssida. Bara en riktig webbläsarsession ser vart det bär.
Varför agenterna är den utsatta parten
En människa som läser en handledning tittar förbi en platshållarlänk och går vidare. En agent som kör en färdighet gör inte det. Den följer hänvisningarna i sina instruktioner därför att den är byggd att följa dem, och den har ingen instinkt som säger att en adress vid namn yoursite.com i ett kodexempel aldrig var tänkt att leda någonstans.
Manifolds poäng är inte att just dessa domäner är katastrofala. Den är att en klass av länkar som varje säkerhetsmodell behandlar som livlös — en literal, en platshållare, något i en kommentar — blir levande i samma stund som någon köper namnet, och att inget i förvaret som citerar den behöver röras för att det ska ske.
En tredje domän, third-party.com, har redan gått igenom detta. Den refereras i över 1 700 förvar och har levererat skadeprogrammet ClickFix.
Vad man gör åt det
Lösningen är trist och fullständig: citera bara de adresser IANA reserverar. example.com, example.org och example.net kan ingen registrera, vilket är hela skälet till att de finns.
För den som levererar agentfärdigheter är det praktiska steget en genomgång av varje domän som förekommer i en färdighets dokumentation, inte bara i dess kod. Och för den som kör agenter är den vidare lärdomen att förtroendegränsen är bredare än prompten. Allt en agent läser är något den kan agera på, inklusive en länk skriven för åratal sedan av någon som utgick från att ingen någonsin skulle klicka på den.
