llms.txt

llms.txt는 웹사이트 주인이 「우리 사이트는 이런 내용이니 참고하라」고 AI에게 남겨두는 안내문이라고 보면 돼요. 예전에는 검색엔진 로봇에게 「이 페이지는 색인해도 되고 저 페이지는 안 된다」고 알려주는 robots.txt라는 파일이 있었는데, llms.txt는 그 AI 버전인 셈이에요. 사이트 주소 뒤에 붙여두면 되는 단순한 텍스트 파일이라 최근 여러 기업이 앞다퉈 만들어두고 있어요.

문제는 이 안내문에 그냥 요약글만 있는 게 아니라 「이 도구를 설치하라」는 식의 실행 명령까지 그대로 적혀 있을 수 있다는 점이에요. 개발자를 도와 코드를 짜고 필요한 프로그램을 알아서 설치해주는 AI 코딩 도우미들은 이 안내문을 읽고 적힌 대로 곧바로 실행해버리는데, 사람이라면 낯선 이름을 보고 한 번 의심할 자리에서 도우미는 의심 없이 그대로 따르는 거예요.

더 큰 문제는 안내문이 아직 아무도 만들지 않은 프로그램이나 주소를 가리키고 있는 경우예요. 누군가 그 빈 이름을 먼저 등록해 나쁜 코드를 심어두면, 그 안내문을 참고하는 모든 회사의 AI 도우미가 자동으로 그 나쁜 코드를 끌어다 실행하게 되는 구조예요.

기사에서는 「6,214개 도메인을 훑어봤는데 8,265개 사이트에서 llms.txt 또는 llms-full.txt 파일을 발견했고, 120개 사이트의 파일이 아직 아무도 등록하지 않은 이름을 가리키고 있었다」는 식으로 쓰였어요. 흔히 llms.txt를 그냥 AI가 참고하는 요약 문서 정도로만 생각하기 쉬운데, 실제로는 그 안에 실행 가능한 설치 명령이 섞여 들어갈 수 있고 코딩 에이전트가 이를 그대로 실행해 보안 사고로 이어질 수 있다는 점이 이번 사례의 핵심이에요.

자사 홈페이지 주소 뒤에 /llms.txt 를 붙여 접속해 파일이 있는지 확인해 보세요.

파일이 있다면 그 안에 적힌 패키지 이름이나 도메인 이름이 실제로 우리 회사가 소유·등록한 것인지 하나씩 대조해 보세요.

AI 코딩 도구를 사내 문서·저장소 작업에 연결해 쓰고 있다면, 그 도구가 llms.txt에 적힌 설치 명령을 그대로 실행하기 전에 사람이 검토하는 단계를 넣을 수 있는지 점검해 보세요.