Los investigadores leyeron las cabeceras de respuesta HTTP de 217.097.223 respuestas de páginas de Common Crawl, una muestra del 10% de su rastreo de septiembre de 2026 de 2.170 millones de páginas, y buscaron cualquier cabecera escrita para un sistema de IA. 7.959 sitios enviaron una. Casi todas dirigen a los agentes a otro recurso, como un archivo llms.txt o un servidor MCP. Un pequeño número intenta dar órdenes al agente. Si algo de esto llega a un modelo depende de qué partes de la respuesta pasa una herramienta de descarga, por lo que la defensa empieza ahí.
De esos sitios, 7.271 enviaron punteros, y 6.989 de ellos enviaron x-llms-txt. Un puntero es el servidor indicando al agente adónde ir a continuación, así que los agentes deberían tratar esos destinos como nuevas descargas no confiables. Solo 30 sitios enviaron intentos de inyección, 24 de ellos en una cabecera llamada X-AI. La mayoría eran bromas. Los pocos que piden acciones reales solo funcionan si el agente tiene el poder correspondiente, como acceso a la shell o a la base de datos. 139 sitios enviaron una cabecera que registra si han clasificado al cliente como bot de IA, y 136 indicaron que lo era.
Algunos sitios usan las cabeceras para rechazar a los agentes. Dos colocaron cadenas con el nombre de los disparadores de prueba de Anthropic en cabeceras con nombres de protesta, y uno advierte a los agentes de hacking que se alejen en sus páginas de error. Un detector que coincidiera solo con los nombres de las cabeceras habría marcado 910 sitios por error, así que las alertas deben centrarse en lo que hace el agente después de una descarga.
En pruebas de octubre de 2026, Claude Opus, Sonnet y Haiku ejecutándose en Claude Code no actuaron según las cabeceras de prueba por defecto. Cuando el prompt del usuario les indicaba seguir las instrucciones de un sitio, obedecieron en 7 de 9 ejecuciones. Por tanto, el rechazo depende de cuánta autoridad conceden los prompts a un sitio.
Entidades clave — Empresas: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic
Preguntas frecuentes: ¿Por qué los agentes de IA deben tratar las cabeceras de respuesta HTTP como entrada no confiable?
Las cabeceras son invisibles para los lectores humanos, pero las herramientas de descarga de un agente pueden pasarlas directamente a un modelo. Algunos sitios las usan para dirigir a los agentes a otros recursos o para dar instrucciones, así que los agentes deben tratar su contenido como texto potencialmente hostil.
Fuente: Hacker News · Resumido por HeadlinesBriefing