Исследователи прочитали HTTP-заголовки ответов для 217 097 223 ответов страниц из Common Crawl, 10% выборки его сентябрьского обхода 2026 года, охватившего 2,17 млрд страниц, и искали любой заголовок, написанный для системы ИИ. 7 959 сайтов отправили такой заголовок. Почти все они направляют агентов к другому ресурсу, например к файлу llms.txt или серверу MCP. Небольшое число пытается отдавать агенту приказы. Попадает ли что-либо из этого в модель, зависит от того, какие части ответа передает инструмент загрузки, поэтому защита начинается именно с этого.
Из этих сайтов 7 271 отправил указатели, и 6 989 из них отправили x-llms-txt. Указатель — это сообщение сервера о том, куда агенту идти дальше, поэтому агенты должны считать эти адреса новыми недоверенными загрузками. Только 30 сайтов отправили попытки инъекций, 24 из них в заголовке под названием X-AI. Большинство было шуткой. Немногие, требующие реальных действий, срабатывают только тогда, когда у агента есть соответствующие полномочия, например доступ к оболочке или базе данных. 139 сайтов отправили заголовок с указанием, классифицировали ли они клиента как ИИ-бота, и 136 ответили, что это бот.
Некоторые сайты используют заголовки, чтобы отпугивать агентов. Два поместили строки, названные в честь тестовых триггеров Anthropic, в заголовки с протестными названиями, а один предупреждает агентов-хакеров держаться подальше на своих страницах ошибок. Детектор, сопоставляющий только имена заголовков, ошибочно пометил бы 910 сайтов, поэтому оповещения должны быть сосредоточены на том, что агент делает после загрузки.
В тестах октября 2026 года Claude Opus, Sonnet и Haiku, работающие в Claude Code, по умолчанию не реагировали на тестовые заголовки. Когда пользовательский промпт велел им следовать указаниям сайта, они подчинялись в 7 из 9 запусков. Поэтому отказ зависит от того, какие полномочия промпты дают сайту.
Ключевые сущности — компании: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic
Часто задаваемые вопросы: Почему ИИ-агенты должны считать HTTP-заголовки ответов недоверенным входом?
Заголовки невидимы для человека-читателя, но инструменты загрузки агента могут передать их напрямую модели. Некоторые сайты используют их, чтобы направлять агентов к другим ресурсам или отдавать указания, поэтому агенты должны считать содержимое заголовков потенциально враждебным текстом.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing