Die Forscher lasen die HTTP-Antwort-Header von 217.097.223 Seitenantworten aus Common Crawl, einer 10-Prozent-Stichprobe seines Crawls vom September 2026 mit 2,17 Milliarden Seiten, und suchten nach Headern, die für ein KI-System geschrieben waren. 7.959 Websites sendeten einen solchen. Fast alle verweisen Agenten auf eine andere Ressource, etwa eine llms.txt-Datei oder einen MCP-Server. Eine kleine Zahl versucht, dem Agenten Anweisungen zu geben. Ob davon etwas ein Modell erreicht, hängt davon ab, welche Teile der Antwort ein Fetch-Tool weitergibt, weshalb die Verteidigung dort ansetzen muss.
Von diesen Websites sendeten 7.271 Verweise, und 6.989 davon sendeten x-llms-txt. Ein Verweis ist der Server, der dem Agenten mitteilt, wohin er als Nächstes gehen soll, daher sollten Agenten diese Ziele als neue, nicht vertrauenswürdige Abrufe behandeln. Nur 30 Websites sendeten Injection-Versuche, 24 davon in einem Header namens X-AI. Die meisten waren Scherze. Die wenigen, die echte Aktionen verlangen, funktionieren nur, wenn der Agent entsprechende Berechtigungen besitzt, etwa Shell- oder Datenbankzugriff. 139 Websites sendeten einen Header, der festhält, ob sie den Client als KI-Bot eingestuft haben, und 136 bestätigten, dass es sich um einen KI-Bot handelt.
Einige Websites nutzen Header, um sich gegen Agenten zu wehren. Zwei platzierten Zeichenketten mit den Namen der Testauslöser von Anthropic in Headern mit Protestnamen, und eine warnt Hacking-Agenten auf ihren Fehlerseiten, fernzubleiben. Ein Detektor, der nur auf Header-Namen prüft, hätte fälschlicherweise 910 Websites markiert, daher sollte sich die Alarmierung darauf konzentrieren, was der Agent nach einem Abruf tut.
In Tests im Oktober 2026 handelten Claude Opus, Sonnet und Haiku in Claude Code standardmäßig nicht nach den Test-Headern. Wenn der Prompt des Nutzers sie anwies, den Anweisungen einer Website zu folgen, gehorchten sie in 7 von 9 Durchläufen. Die Ablehnung hängt also davon ab, wie viel Autorität Prompts einer Website einräumen.
Zentrale Entitäten — Unternehmen: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing