Les chercheurs ont lu les en-têtes de réponse HTTP de 217 097 223 réponses de pages issues de Common Crawl, un échantillon de 10 % de son exploration de septembre 2026 portant sur 2,17 milliards de pages, et ont recherché tout en-tête écrit pour un système d'IA. 7 959 sites en ont envoyé un. Presque tous orientent les agents vers une autre ressource, comme un fichier llms.txt ou un serveur MCP. Un petit nombre tente de donner des ordres à l'agent. Qu'une partie de cela atteigne un modèle dépend des parties de la réponse que transmet un outil de récupération, d'où le point de départ de la défense.
Parmi ces sites, 7 271 ont envoyé des pointeurs, dont 6 989 un x-llms-txt. Un pointeur est une indication du serveur sur la destination suivante de l'agent ; les agents doivent donc traiter ces destinations comme de nouvelles récupérations non fiables. Seuls 30 sites ont envoyé des tentatives d'injection, dont 24 dans un en-tête nommé X-AI. La plupart étaient des farces. Les rares qui demandent de véritables actions ne fonctionnent que si l'agent dispose des pouvoirs correspondants, comme un accès au shell ou à une base de données. 139 sites ont envoyé un en-tête indiquant s'ils avaient classé le client comme robot d'IA, et 136 ont répondu que c'en était un.
Certains sites utilisent les en-têtes pour repousser les agents. Deux ont placé des chaînes portant le nom des déclencheurs de test d'Anthropic dans des en-têtes au nom contestataire, et un autre met en garde les agents de piratage sur ses pages d'erreur. Un détecteur se fondant uniquement sur les noms d'en-têtes aurait signalé 910 sites à tort ; les alertes doivent donc porter sur ce que fait l'agent après une récupération.
Lors de tests d'octobre 2026, Claude Opus, Sonnet et Haiku exécutés dans Claude Code n'ont pas agi sur les en-têtes de test par défaut. Lorsque l'invite de l'utilisateur leur demandait de suivre les directives d'un site, ils ont obéi dans 7 cas sur 9. Le refus dépend donc de l'autorité que les invites accordent à un site.
Entités clés — Entreprises : Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic
FAQ : Pourquoi les agents d'IA doivent-ils traiter les en-têtes de réponse HTTP comme des entrées non fiables ?
Les en-têtes sont invisibles pour les lecteurs humains, mais les outils de récupération d'un agent peuvent les transmettre directement à un modèle. Certains sites s'en servent pour orienter les agents vers d'autres ressources ou pour donner des instructions ; les agents doivent donc traiter le contenu des en-têtes comme un texte potentiellement hostile.
Source: Hacker News · Résumé par HeadlinesBriefing