Sinto muito por postar sobre isso publicamente, mas entrei em contato com o autor do plugin, @kaktak, de forma privada e não obtive resposta. Trata-se de uma questão de segurança que pode afetar sites que utilizam este plugin, então em algum momento terei que informar a comunidade.
Questão de segurança: o plugin contorna o login_required do site, vazando conteúdo que normalmente estaria protegido pelo login do site para o arquivo público llms.txt.
Corolário importante: ele não contorna a segurança na visibilidade de categorias nem em mensagens privadas, então a situação não é tão grave quanto poderia ser!
O controlador do plugin chama skip_before_action :redirect_to_login_if_required, de modo que, em um site que exige login, a saÃda lista tópicos que usuários anônimos não poderiam ver de outra forma. As rotas por categoria e por tópico aplicam as verificações do Guardian.
Meu conselho para sites que exigem login é desativar este plugin até que o problema seja corrigido. Sei que isso pode não se aplicar a muitos sites, já que a necessidade de um llms.txt e a configuração de ‘login-required’ são, para a maioria dos usuários, mutuamente exclusivas.
Agora que um LLMs.txt gerado automaticamente foi incluÃdo no núcleo, a necessidade deste plugin é menor de qualquer forma.