研究者らは、Common Crawlの217,097,223件のページレスポンスのHTTPレスポンスヘッダーを読み取りました。これは2026年9月のクロール（21億7,000万ページ）の10%のサンプルで、AIシステム向けに書かれたヘッダーを探しました。7,959のサイトがそのようなヘッダーを送信していました。その大半は、llms.txtファイルやMCPサーバーなど、エージェントを別のリソースへ誘導するものです。ごく少数のサイトは、エージェントに命令を与えようとしています。これらのいずれかがモデルに届くかどうかは、フェッチツールがレスポンスのどの部分を渡すかによるため、防御はそこから始まります。
これらのサイトのうち7,271がポインターを送信し、そのうち6,989がx-llms-txtを送信していました。ポインターとは、サーバーがエージェントに次の行き先を伝えるものなので、エージェントはこれらの宛先を新しい信頼できないフェッチとして扱うべきです。インジェクションの試みを送信したのはわずか30サイトで、そのうち24はX-AIという名前のヘッダーでした。大半はいたずらでした。実際の操作を求める少数のものも、シェルやデータベースへのアクセスなど、エージェントが対応する権限を持っている場合にのみ機能します。139サイトは、クライアントをAIボットとして分類したかどうかを記録するヘッダーを送信し、136サイトはそれがAIボットであると回答しました。
一部のサイトは、ヘッダーを使ってエージェントを押し返しています。2つのサイトは、抗議を表す名前のヘッダーにAnthropicのテスト用トリガーにちなんだ文字列を入れており、別のサイトはエラーページでハッキング目的のエージェントに立ち去るよう警告しています。ヘッダー名だけで照合する検出器では910サイトを誤って検出してしまうため、警告はフェッチ後にエージェントが何をするかに焦点を当てるべきです。
2026年10月のテストでは、Claude Code上で動作するClaude Opus、Sonnet、Haikuは、デフォルトではテスト用ヘッダーに従いませんでした。ユーザーのプロンプトがサイトの指示に従うよう指定した場合は、9回中7回で従いました。したがって、この拒否はプロンプトがサイトにどれほどの権限を与えるかによって変わります。
主要な固有名詞 — 企業：Common Crawl、Palo Alto Networks Unit 42、Google Threat Intelligence Group、Anthropic
よくある質問：AIエージェントはHTTPレスポンスヘッダーを信頼できない入力として扱うべきなのはなぜですか？
ヘッダーは人間の読者には見えませんが、エージェントのフェッチツールによってモデルに直接渡されることがあります。一部のサイトはこれを使ってエージェントを他のリソースへ誘導したり、指示を出したりするため、エージェントはヘッダーの内容を悪意を持つ可能性のあるテキストとして扱うべきです。
出典: Hacker News · 要約：HeadlinesBriefing