Os pesquisadores leram os cabeçalhos de resposta HTTP de 217.097.223 respostas de páginas do Common Crawl, uma amostra de 10% de seu rastreamento de setembro de 2026, com 2,17 bilhões de páginas, e procuraram qualquer cabeçalho escrito para um sistema de IA. 7.959 sites enviaram um. Quase todos direcionam agentes para outro recurso, como um arquivo llms.txt ou um servidor MCP. Um pequeno número tenta dar ordens ao agente. Se algo disso chega a um modelo depende de quais partes da resposta uma ferramenta de busca repassa, por isso a defesa começa aí.
Desses sites, 7.271 enviaram ponteiros, e 6.989 deles enviaram x-llms-txt. Um ponteiro é o servidor indicando ao agente para onde ir em seguida, então os agentes devem tratar esses destinos como novas buscas não confiáveis. Apenas 30 sites enviaram tentativas de injeção, 24 delas em um cabeçalho chamado X-AI. A maioria era brincadeira. As poucas que pedem ações reais só funcionam se o agente tiver o poder correspondente, como acesso ao shell ou ao banco de dados. 139 sites enviaram um cabeçalho registrando se classificaram o cliente como bot de IA, e 136 disseram que era um.
Alguns sites usam cabeçalhos para repelir agentes. Dois colocaram strings com o nome dos gatilhos de teste da Anthropic em cabeçalhos com nomes de protesto, e um avisa agentes de hacking para se afastarem em suas páginas de erro. Um detector que casasse apenas com nomes de cabeçalhos teria sinalizado 910 sites por engano, por isso os alertas devem se concentrar no que o agente faz depois de uma busca.
Em testes de outubro de 2026, Claude Opus, Sonnet e Haiku rodando no Claude Code não agiram sobre os cabeçalhos de teste por padrão. Quando o prompt do usuário mandava seguir as instruções de um site, eles obedeceram em 7 de 9 execuções. Portanto, a recusa depende da autoridade que os prompts concedem a um site.
Entidades principais — Empresas: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic
Perguntas frequentes: Por que agentes de IA devem tratar os cabeçalhos de resposta HTTP como entrada não confiável?
Os cabeçalhos são invisíveis para leitores humanos, mas as ferramentas de busca de um agente podem repassá-los diretamente a um modelo. Alguns sites os usam para direcionar agentes a outros recursos ou para emitir instruções, então os agentes devem tratar o conteúdo dos cabeçalhos como texto potencialmente hostil.
Fonte: Hacker News · Resumido por HeadlinesBriefing