Prompt injection in HTTP headers: what 217M web responses show

Researchers read the HTTP response headers of 217,097,223 page responses from Common Crawl, a 10% sample of its September 2026 crawl of 2.17 billion pages, and looked for any header written for an AI system. 7,959 sites sent one. Almost all of them point agents to another resource, such as an llms.txt file or an MCP server. A small number try to give the agent orders. Whether any of this reaches a model depends on which parts of the response a fetch tool passes along, so the defense starts there.

Of those sites, 7,271 sent pointers, and 6,989 of them sent x-llms-txt. A pointer is the server telling an agent where to go next, so agents should treat those destinations as new, untrusted fetches. Only 30 sites sent injection attempts, 24 of them in a header named X-AI. Most were pranks. The few that ask for real actions only work when the agent holds matching power, such as shell or database access. 139 sites sent a header recording whether they had classified the client as an AI bot, and 136 said it was one.

Some sites use headers to push back on agents. Two placed strings named after Anthropic's test triggers in protest-named headers, and one warns hacking agents away on its error pages. A detector that matches on header names alone would have flagged 910 sites by mistake, so alerting should focus on what the agent does after a fetch.

In October 2026 tests, Claude Opus, Sonnet, and Haiku running in Claude Code did not act on the test headers by default. When the user's prompt told them to follow a site's directions, they obeyed in 7 of 9 runs. The refusal therefore depends on how much authority prompts give a site.

قرأ الباحثون رؤوس استجابة HTTP لـ 217,097,223 استجابة لصفحات من Common Crawl، وهي عينة بنسبة 10% من زحفه في سبتمبر 2026 الذي شمل 2.17 مليار صفحة، وبحثوا عن أي رأس مكتوب لنظام ذكاء اصطناعي. أرسل 7,959 موقعًا رأسًا من هذا النوع. وتوجه الغالبية العظمى منها الوكلاء إلى مورد آخر، مثل ملف llms.txt أو خادم MCP. ويحاول عدد قليل منها إعطاء الوكيل أوامر. ويعتمد وصول أي من ذلك إلى النموذج على الأجزاء التي تمررها أداة الجلب من الاستجابة، ولذلك يبدأ الدفاع من هنا.

ومن تلك المواقع، أرسل 7,271 موقعًا مؤشرات، وأرسل 6,989 منها الرأس x-llms-txt. والمؤشر هو إشارة من الخادم تخبر الوكيل إلى أين يذهب بعد ذلك، لذا ينبغي للوكلاء أن يعاملوا هذه الوجهات كعمليات جلب جديدة غير موثوقة. أرسل 30 موقعًا فقط محاولات حقن، منها 24 في رأس باسم X-AI. وكانت معظمها مزاح. أما القليل الذي يطلب إجراءات حقيقية فلا يعمل إلا إذا امتلك الوكيل الصلاحيات المطابقة، مثل الوصول إلى الصدفة أو قاعدة البيانات. وأرسل 139 موقعًا رأسًا يسجل ما إذا كانوا قد صنفوا العميل كروبوت ذكاء اصطناعي، وقال 136 منها إنه كذلك.

تستخدم بعض المواقع الرؤوس للرد على الوكلاء. فقد وضع موقعان سلاسل تحمل أسماء مشغلات الاختبار الخاصة بـ Anthropic في رؤوس ذات أسماء احتجاجية، ويحذر موقع ثالث وكلاء الاختراق من الابتعاد في صفحات الأخطاء لديه. وكان أي كاشف يطابق أسماء الرؤوس فقط سيُعلم 910 مواقع خطأً، لذا ينبغي أن تركز التنبيهات على ما يفعله الوكيل بعد الجلب.

في اختبارات أكتوبر 2026، لم تتصرف نماذج Claude Opus وSonnet وHaiku العاملة في Claude Code بناءً على رؤوس الاختبار افتراضيًا. وعندما أخبرتها مطالبة المستخدم باتباع توجيهات موقع ما، أطاعت في 7 من 9 تشغيلات. ولذلك يعتمد الرفض على مقدار السلطة التي تمنحها المطالبات للموقع.

الكيانات الرئيسية — الشركات: Common Crawl، Palo Alto Networks Unit 42، Google Threat Intelligence Group، Anthropic

الأسئلة الشائعة: لماذا ينبغي لوكلاء الذكاء الاصطناعي معاملة رؤوس استجابة HTTP كمدخلات غير موثوقة؟

الرؤوس غير مرئية للقراء البشر، لكن أدوات الجلب لدى الوكيل قد تمررها مباشرة إلى النموذج. وتستخدمها بعض المواقع لتوجيه الوكلاء إلى موارد أخرى أو لإصدار تعليمات، لذا ينبغي للوكلاء أن يعاملوا محتوى الرؤوس كنص قد يكون عدائيًا.

গবেষকরা Common Crawl থেকে ২,১৭,০৯,৭২২৩টি পৃষ্ঠা প্রতিক্রিয়ার HTTP প্রতিক্রিয়া হেডার পড়েছেন। এটি ২০২৬ সালের সেপ্টেম্বরের ২১.৭ কোটি পৃষ্ঠার ক্রলের ১০% নমুনা, এবং তারা AI সিস্টেমের জন্য লেখা যেকোনো হেডার খুঁজেছেন। ৭,৯৫৯টি সাইট একটি পাঠিয়েছে। প্রায় সবগুলোই এজেন্টকে অন্য কোনো সম্পদের দিকে নির্দেশ করে, যেমন llms.txt ফাইল বা MCP সার্ভার। অল্প কয়েকটি এজেন্টকে নির্দেশ দিতে চেষ্টা করে। এর কোনোটি মডেলে পৌঁছায় কিনা, তা নির্ভর করে ফেচ টুল প্রতিক্রিয়ার কোন অংশ পাস করে তার উপর, তাই প্রতিরক্ষা সেখান থেকেই শুরু হয়।

এসব সাইটের মধ্যে ৭,২৭১টি পয়েন্টার পাঠিয়েছে এবং তাদের মধ্যে ৬,৯৮৯টি x-llms-txt পাঠিয়েছে। পয়েন্টার হলো সার্ভারের এমন বার্তা যা এজেন্টকে জানায় পরবর্তীতে কোথায় যেতে হবে, তাই এজেন্টদের উচিত এই গন্তব্যগুলোকে নতুন, অবিশ্বস্ত ফেচ হিসেবে বিবেচনা করা। মাত্র ৩০টি সাইট ইনজেকশনের চেষ্টা পাঠিয়েছে, যার মধ্যে ২৪টি X-AI নামের হেডারে ছিল। বেশিরভাগই ছিল কৌতুক। যে কয়েকটি বাস্তব কাজ চায়, সেগুলো তখনই কাজ করে যখন এজেন্টের সংশ্লিষ্ট ক্ষমতা থাকে, যেমন শেল বা ডেটাবেস অ্যাক্সেস। ১৩৯টি সাইট এমন একটি হেডার পাঠিয়েছে যেখানে লেখা আছে তারা ক্লায়েন্টকে AI বট হিসেবে শ্রেণিবদ্ধ করেছে কিনা, এবং ১৩৬টি বলেছে এটি একটি AI বট।

কিছু সাইট হেডার ব্যবহার করে এজেন্টদের প্রতিরোধ করে। দুটি সাইট প্রতিবাদমূলক নামের হেডারে Anthropic-এর পরীক্ষামূলক ট্রিগারের নামে স্ট্রিং রেখেছে, এবং একটি সাইট তার ত্রুটি পৃষ্ঠায় হ্যাকিং এজেন্টদের দূরে থাকতে সতর্ক করে। যদি শুধু হেডারের নাম মিলিয়ে সনাক্তকারী ব্যবহার করা হতো, তবে ভুলভাবে ৯১০টি সাইট চিহ্নিত হতো, তাই সতর্কতা ফেচের পর এজেন্ট কী করে তার উপর কেন্দ্রীভূত হওয়া উচিত।

অক্টোবর ২০২৬ সালের পরীক্ষায়, Claude Code-এ চালানো Claude Opus, Sonnet ও Haiku ডিফল্টভাবে পরীক্ষার হেডারের ভিত্তিতে কাজ করেনি। ব্যবহারকারীর প্রম্পট যখন তাদের কোনো সাইটের নির্দেশনা মানতে বলেছে, তখন ৯টি রানের মধ্যে ৭টিতে তারা মেনেছে। সুতরাং প্রত্যাখ্যান নির্ভর করে প্রম্পট সাইটকে কতটা কর্তৃত্ব দেয় তার উপর।

মূল সত্তা — কোম্পানি: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic

প্রায়শ জিজ্ঞাসিত প্রশ্ন: AI এজেন্টদের কেন HTTP প্রতিক্রিয়া হেডারকে অবিশ্বস্ত ইনপুট হিসেবে বিবেচনা করা উচিত?

হেডার মানব পাঠকদের কাছে অদৃশ্য, কিন্তু এজেন্টের ফেচ টুল সেগুলো সরাসরি মডেলে পাঠাতে পারে। কিছু সাইট এগুলো ব্যবহার করে এজেন্টদের অন্য সম্পদের দিকে নির্দেশ করতে বা নির্দেশ দিতে, তাই এজেন্টদের হেডারের বিষয়বস্তুকে সম্ভাব্য বিদ্বেষপূর্ণ পাঠ্য হিসেবে গণ্য করা উচিত।

Die Forscher lasen die HTTP-Antwort-Header von 217.097.223 Seitenantworten aus Common Crawl, einer 10-Prozent-Stichprobe seines Crawls vom September 2026 mit 2,17 Milliarden Seiten, und suchten nach Headern, die für ein KI-System geschrieben waren. 7.959 Websites sendeten einen solchen. Fast alle verweisen Agenten auf eine andere Ressource, etwa eine llms.txt-Datei oder einen MCP-Server. Eine kleine Zahl versucht, dem Agenten Anweisungen zu geben. Ob davon etwas ein Modell erreicht, hängt davon ab, welche Teile der Antwort ein Fetch-Tool weitergibt, weshalb die Verteidigung dort ansetzen muss.

Von diesen Websites sendeten 7.271 Verweise, und 6.989 davon sendeten x-llms-txt. Ein Verweis ist der Server, der dem Agenten mitteilt, wohin er als Nächstes gehen soll, daher sollten Agenten diese Ziele als neue, nicht vertrauenswürdige Abrufe behandeln. Nur 30 Websites sendeten Injection-Versuche, 24 davon in einem Header namens X-AI. Die meisten waren Scherze. Die wenigen, die echte Aktionen verlangen, funktionieren nur, wenn der Agent entsprechende Berechtigungen besitzt, etwa Shell- oder Datenbankzugriff. 139 Websites sendeten einen Header, der festhält, ob sie den Client als KI-Bot eingestuft haben, und 136 bestätigten, dass es sich um einen KI-Bot handelt.

Einige Websites nutzen Header, um sich gegen Agenten zu wehren. Zwei platzierten Zeichenketten mit den Namen der Testauslöser von Anthropic in Headern mit Protestnamen, und eine warnt Hacking-Agenten auf ihren Fehlerseiten, fernzubleiben. Ein Detektor, der nur auf Header-Namen prüft, hätte fälschlicherweise 910 Websites markiert, daher sollte sich die Alarmierung darauf konzentrieren, was der Agent nach einem Abruf tut.

In Tests im Oktober 2026 handelten Claude Opus, Sonnet und Haiku in Claude Code standardmäßig nicht nach den Test-Headern. Wenn der Prompt des Nutzers sie anwies, den Anweisungen einer Website zu folgen, gehorchten sie in 7 von 9 Durchläufen. Die Ablehnung hängt also davon ab, wie viel Autorität Prompts einer Website einräumen.

Zentrale Entitäten — Unternehmen: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic

Los investigadores leyeron las cabeceras de respuesta HTTP de 217.097.223 respuestas de páginas de Common Crawl, una muestra del 10% de su rastreo de septiembre de 2026 de 2.170 millones de páginas, y buscaron cualquier cabecera escrita para un sistema de IA. 7.959 sitios enviaron una. Casi todas dirigen a los agentes a otro recurso, como un archivo llms.txt o un servidor MCP. Un pequeño número intenta dar órdenes al agente. Si algo de esto llega a un modelo depende de qué partes de la respuesta pasa una herramienta de descarga, por lo que la defensa empieza ahí.

De esos sitios, 7.271 enviaron punteros, y 6.989 de ellos enviaron x-llms-txt. Un puntero es el servidor indicando al agente adónde ir a continuación, así que los agentes deberían tratar esos destinos como nuevas descargas no confiables. Solo 30 sitios enviaron intentos de inyección, 24 de ellos en una cabecera llamada X-AI. La mayoría eran bromas. Los pocos que piden acciones reales solo funcionan si el agente tiene el poder correspondiente, como acceso a la shell o a la base de datos. 139 sitios enviaron una cabecera que registra si han clasificado al cliente como bot de IA, y 136 indicaron que lo era.

Algunos sitios usan las cabeceras para rechazar a los agentes. Dos colocaron cadenas con el nombre de los disparadores de prueba de Anthropic en cabeceras con nombres de protesta, y uno advierte a los agentes de hacking que se alejen en sus páginas de error. Un detector que coincidiera solo con los nombres de las cabeceras habría marcado 910 sitios por error, así que las alertas deben centrarse en lo que hace el agente después de una descarga.

En pruebas de octubre de 2026, Claude Opus, Sonnet y Haiku ejecutándose en Claude Code no actuaron según las cabeceras de prueba por defecto. Cuando el prompt del usuario les indicaba seguir las instrucciones de un sitio, obedecieron en 7 de 9 ejecuciones. Por tanto, el rechazo depende de cuánta autoridad conceden los prompts a un sitio.

Entidades clave — Empresas: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic

Preguntas frecuentes: ¿Por qué los agentes de IA deben tratar las cabeceras de respuesta HTTP como entrada no confiable?

Las cabeceras son invisibles para los lectores humanos, pero las herramientas de descarga de un agente pueden pasarlas directamente a un modelo. Algunos sitios las usan para dirigir a los agentes a otros recursos o para dar instrucciones, así que los agentes deben tratar su contenido como texto potencialmente hostil.

Les chercheurs ont lu les en-têtes de réponse HTTP de 217 097 223 réponses de pages issues de Common Crawl, un échantillon de 10 % de son exploration de septembre 2026 portant sur 2,17 milliards de pages, et ont recherché tout en-tête écrit pour un système d'IA. 7 959 sites en ont envoyé un. Presque tous orientent les agents vers une autre ressource, comme un fichier llms.txt ou un serveur MCP. Un petit nombre tente de donner des ordres à l'agent. Qu'une partie de cela atteigne un modèle dépend des parties de la réponse que transmet un outil de récupération, d'où le point de départ de la défense.

Parmi ces sites, 7 271 ont envoyé des pointeurs, dont 6 989 un x-llms-txt. Un pointeur est une indication du serveur sur la destination suivante de l'agent ; les agents doivent donc traiter ces destinations comme de nouvelles récupérations non fiables. Seuls 30 sites ont envoyé des tentatives d'injection, dont 24 dans un en-tête nommé X-AI. La plupart étaient des farces. Les rares qui demandent de véritables actions ne fonctionnent que si l'agent dispose des pouvoirs correspondants, comme un accès au shell ou à une base de données. 139 sites ont envoyé un en-tête indiquant s'ils avaient classé le client comme robot d'IA, et 136 ont répondu que c'en était un.

Certains sites utilisent les en-têtes pour repousser les agents. Deux ont placé des chaînes portant le nom des déclencheurs de test d'Anthropic dans des en-têtes au nom contestataire, et un autre met en garde les agents de piratage sur ses pages d'erreur. Un détecteur se fondant uniquement sur les noms d'en-têtes aurait signalé 910 sites à tort ; les alertes doivent donc porter sur ce que fait l'agent après une récupération.

Lors de tests d'octobre 2026, Claude Opus, Sonnet et Haiku exécutés dans Claude Code n'ont pas agi sur les en-têtes de test par défaut. Lorsque l'invite de l'utilisateur leur demandait de suivre les directives d'un site, ils ont obéi dans 7 cas sur 9. Le refus dépend donc de l'autorité que les invites accordent à un site.

Entités clés — Entreprises : Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic

FAQ : Pourquoi les agents d'IA doivent-ils traiter les en-têtes de réponse HTTP comme des entrées non fiables ?

Les en-têtes sont invisibles pour les lecteurs humains, mais les outils de récupération d'un agent peuvent les transmettre directement à un modèle. Certains sites s'en servent pour orienter les agents vers d'autres ressources ou pour donner des instructions ; les agents doivent donc traiter le contenu des en-têtes comme un texte potentiellement hostile.

शोधकर्ताओं ने Common Crawl से 217,097,223 पेज प्रतिक्रियाओं के HTTP प्रतिक्रिया हेडर पढ़े। यह सितंबर 2026 के उसके 21.7 करोड़ पेज के क्रॉल का 10% नमूना था, और उन्होंने ऐसे किसी भी हेडर की खोज की जो AI सिस्टम के लिए लिखा गया हो। 7,959 साइटों ने ऐसा एक हेडर भेजा। लगभग सभी एजेंटों को किसी दूसरे संसाधन की ओर इंगित करते हैं, जैसे llms.txt फ़ाइल या MCP सर्वर। कुछ थोड़ी संख्या में एजेंट को निर्देश देने का प्रयास करती हैं। यह सामग्री किसी मॉडल तक पहुँचती है या नहीं, यह इस पर निर्भर करता है कि फ़ेच टूल प्रतिक्रिया का कौन-सा हिस्सा आगे भेजता है, इसलिए बचाव वहीं से शुरू होता है।

इन साइटों में से 7,271 ने पॉइंटर भेजे, और उनमें से 6,989 ने x-llms-txt भेजा। पॉइंटर सर्वर का वह संकेत है जो एजेंट को बताता है कि अगला कदम कहाँ उठाना है, इसलिए एजेंटों को इन गंतव्यों को नए, अविश्वसनीय फ़ेच के रूप में देखना चाहिए। केवल 30 साइटों ने इंजेक्शन के प्रयास भेजे, जिनमें से 24 X-AI नाम के हेडर में थे। अधिकांश मज़ाक थे। जो कुछ वास्तविक कार्रवाई माँगते हैं, वे तभी काम करते हैं जब एजेंट के पास संबंधित शक्ति हो, जैसे शेल या डेटाबेस एक्सेस। 139 साइटों ने एक हेडर भेजा जिसमें दर्ज था कि उन्होंने क्लाइंट को AI बॉट के रूप में वर्गीकृत किया है या नहीं, और 136 ने कहा कि वह AI बॉट था।

कुछ साइटें हेडर के ज़रिए एजेंटों को पीछे धकेलती हैं। दो ने विरोध दर्शाने वाले नामों वाले हेडर में Anthropic के परीक्षण ट्रिगर के नाम पर स्ट्रिंग रखीं, और एक अपने एरर पेजों पर हैकिंग एजेंटों को दूर रहने की चेतावनी देती है। यदि डिटेक्टर केवल हेडर नामों पर मिलान करता, तो उसने गलती से 910 साइटों को चिह्नित कर दिया होता, इसलिए अलर्ट इस पर केंद्रित होने चाहिए कि फ़ेच के बाद एजेंट क्या करता है।

अक्टूबर 2026 के परीक्षणों में, Claude Code में चल रहे Claude Opus, Sonnet और Haiku ने डिफ़ॉल्ट रूप से परीक्षण हेडर पर कार्य नहीं किया। जब उपयोगकर्ता के प्रॉम्प्ट ने उन्हें किसी साइट के निर्देशों का पालन करने को कहा, तो उन्होंने 9 में से 7 रन में आज्ञा मानी। इसलिए इनकार इस पर निर्भर करता है कि प्रॉम्प्ट किसी साइट को कितना अधिकार देते हैं।

प्रमुख इकाइयाँ — कंपनियाँ: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic

अक्सर पूछे जाने वाले प्रश्न: AI एजेंटों को HTTP प्रतिक्रिया हेडर को अविश्वसनीय इनपुट क्यों मानना चाहिए?

हेडर मानव पाठकों को दिखाई नहीं देते, लेकिन एजेंट के फ़ेच टूल उन्हें सीधे मॉडल तक पहुँचा सकते हैं। कुछ साइटें इनका उपयोग एजेंटों को अन्य संसाधनों की ओर भेजने या निर्देश देने के लिए करती हैं, इसलिए एजेंटों को हेडर की सामग्री को संभावित रूप से दुर्भावनापूर्ण पाठ मानना चाहिए।

Para peneliti membaca header respons HTTP dari 217.097.223 respons halaman Common Crawl, sampel 10% dari crawl September 2026 yang mencakup 2,17 miliar halaman, dan mencari header apa pun yang ditulis untuk sistem AI. 7.959 situs mengirimkan satu header semacam itu. Hampir semuanya mengarahkan agen ke sumber lain, seperti file llms.txt atau server MCP. Sejumlah kecil mencoba memberi perintah kepada agen. Apakah ada yang sampai ke model bergantung pada bagian respons mana yang diteruskan oleh alat fetch, sehingga pertahanan dimulai dari situ.

Dari situs-situs tersebut, 7.271 mengirimkan penunjuk, dan 6.989 di antaranya mengirimkan x-llms-txt. Penunjuk adalah cara server mem

研究者らは、Common Crawlの217,097,223件のページレスポンスのHTTPレスポンスヘッダーを読み取りました。これは2026年9月のクロール（21億7,000万ページ）の10%のサンプルで、AIシステム向けに書かれたヘッダーを探しました。7,959のサイトがそのようなヘッダーを送信していました。その大半は、llms.txtファイルやMCPサーバーなど、エージェントを別のリソースへ誘導するものです。ごく少数のサイトは、エージェントに命令を与えようとしています。これらのいずれかがモデルに届くかどうかは、フェッチツールがレスポンスのどの部分を渡すかによるため、防御はそこから始まります。

これらのサイトのうち7,271がポインターを送信し、そのうち6,989がx-llms-txtを送信していました。ポインターとは、サーバーがエージェントに次の行き先を伝えるものなので、エージェントはこれらの宛先を新しい信頼できないフェッチとして扱うべきです。インジェクションの試みを送信したのはわずか30サイトで、そのうち24はX-AIという名前のヘッダーでした。大半はいたずらでした。実際の操作を求める少数のものも、シェルやデータベースへのアクセスなど、エージェントが対応する権限を持っている場合にのみ機能します。139サイトは、クライアントをAIボットとして分類したかどうかを記録するヘッダーを送信し、136サイトはそれがAIボットであると回答しました。

一部のサイトは、ヘッダーを使ってエージェントを押し返しています。2つのサイトは、抗議を表す名前のヘッダーにAnthropicのテスト用トリガーにちなんだ文字列を入れており、別のサイトはエラーページでハッキング目的のエージェントに立ち去るよう警告しています。ヘッダー名だけで照合する検出器では910サイトを誤って検出してしまうため、警告はフェッチ後にエージェントが何をするかに焦点を当てるべきです。

2026年10月のテストでは、Claude Code上で動作するClaude Opus、Sonnet、Haikuは、デフォルトではテスト用ヘッダーに従いませんでした。ユーザーのプロンプトがサイトの指示に従うよう指定した場合は、9回中7回で従いました。したがって、この拒否はプロンプトがサイトにどれほどの権限を与えるかによって変わります。

主要な固有名詞 — 企業：Common Crawl、Palo Alto Networks Unit 42、Google Threat Intelligence Group、Anthropic

よくある質問：AIエージェントはHTTPレスポンスヘッダーを信頼できない入力として扱うべきなのはなぜですか？

ヘッダーは人間の読者には見えませんが、エージェントのフェッチツールによってモデルに直接渡されることがあります。一部のサイトはこれを使ってエージェントを他のリソースへ誘導したり、指示を出したりするため、エージェントはヘッダーの内容を悪意を持つ可能性のあるテキストとして扱うべきです。

Os pesquisadores leram os cabeçalhos de resposta HTTP de 217.097.223 respostas de páginas do Common Crawl, uma amostra de 10% de seu rastreamento de setembro de 2026, com 2,17 bilhões de páginas, e procuraram qualquer cabeçalho escrito para um sistema de IA. 7.959 sites enviaram um. Quase todos direcionam agentes para outro recurso, como um arquivo llms.txt ou um servidor MCP. Um pequeno número tenta dar ordens ao agente. Se algo disso chega a um modelo depende de quais partes da resposta uma ferramenta de busca repassa, por isso a defesa começa aí.

Desses sites, 7.271 enviaram ponteiros, e 6.989 deles enviaram x-llms-txt. Um ponteiro é o servidor indicando ao agente para onde ir em seguida, então os agentes devem tratar esses destinos como novas buscas não confiáveis. Apenas 30 sites enviaram tentativas de injeção, 24 delas em um cabeçalho chamado X-AI. A maioria era brincadeira. As poucas que pedem ações reais só funcionam se o agente tiver o poder correspondente, como acesso ao shell ou ao banco de dados. 139 sites enviaram um cabeçalho registrando se classificaram o cliente como bot de IA, e 136 disseram que era um.

Alguns sites usam cabeçalhos para repelir agentes. Dois colocaram strings com o nome dos gatilhos de teste da Anthropic em cabeçalhos com nomes de protesto, e um avisa agentes de hacking para se afastarem em suas páginas de erro. Um detector que casasse apenas com nomes de cabeçalhos teria sinalizado 910 sites por engano, por isso os alertas devem se concentrar no que o agente faz depois de uma busca.

Em testes de outubro de 2026, Claude Opus, Sonnet e Haiku rodando no Claude Code não agiram sobre os cabeçalhos de teste por padrão. Quando o prompt do usuário mandava seguir as instruções de um site, eles obedeceram em 7 de 9 execuções. Portanto, a recusa depende da autoridade que os prompts concedem a um site.

Entidades principais — Empresas: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic

Perguntas frequentes: Por que agentes de IA devem tratar os cabeçalhos de resposta HTTP como entrada não confiável?

Os cabeçalhos são invisíveis para leitores humanos, mas as ferramentas de busca de um agente podem repassá-los diretamente a um modelo. Alguns sites os usam para direcionar agentes a outros recursos ou para emitir instruções, então os agentes devem tratar o conteúdo dos cabeçalhos como texto potencialmente hostil.

Исследователи прочитали HTTP-заголовки ответов для 217 097 223 ответов страниц из Common Crawl, 10% выборки его сентябрьского обхода 2026 года, охватившего 2,17 млрд страниц, и искали любой заголовок, написанный для системы ИИ. 7 959 сайтов отправили такой заголовок. Почти все они направляют агентов к другому ресурсу, например к файлу llms.txt или серверу MCP. Небольшое число пытается отдавать агенту приказы. Попадает ли что-либо из этого в модель, зависит от того, какие части ответа передает инструмент загрузки, поэтому защита начинается именно с этого.

Из этих сайтов 7 271 отправил указатели, и 6 989 из них отправили x-llms-txt. Указатель — это сообщение сервера о том, куда агенту идти дальше, поэтому агенты должны считать эти адреса новыми недоверенными загрузками. Только 30 сайтов отправили попытки инъекций, 24 из них в заголовке под названием X-AI. Большинство было шуткой. Немногие, требующие реальных действий, срабатывают только тогда, когда у агента есть соответствующие полномочия, например доступ к оболочке или базе данных. 139 сайтов отправили заголовок с указанием, классифицировали ли они клиента как ИИ-бота, и 136 ответили, что это бот.

Некоторые сайты используют заголовки, чтобы отпугивать агентов. Два поместили строки, названные в честь тестовых триггеров Anthropic, в заголовки с протестными названиями, а один предупреждает агентов-хакеров держаться подальше на своих страницах ошибок. Детектор, сопоставляющий только имена заголовков, ошибочно пометил бы 910 сайтов, поэтому оповещения должны быть сосредоточены на том, что агент делает после загрузки.

В тестах октября 2026 года Claude Opus, Sonnet и Haiku, работающие в Claude Code, по умолчанию не реагировали на тестовые заголовки. Когда пользовательский промпт велел им следовать указаниям сайта, они подчинялись в 7 из 9 запусков. Поэтому отказ зависит от того, какие полномочия промпты дают сайту.

Ключевые сущности — компании: Common Crawl, Palo Alto Networks Unit 42, Google Threat Intelligence Group, Anthropic

Часто задаваемые вопросы: Почему ИИ-агенты должны считать HTTP-заголовки ответов недоверенным входом?

Заголовки невидимы для человека-читателя, но инструменты загрузки агента могут передать их напрямую модели. Некоторые сайты используют их, чтобы направлять агентов к другим ресурсам или отдавать указания, поэтому агенты должны считать содержимое заголовков потенциально враждебным текстом.

研究人员读取了来自Common Crawl的217,097,223份页面响应的HTTP响应标头。该数据来自其2026年9月抓取的21.7亿个页面中的10%样本,研究人员在其中查找专为AI系统编写的任何标头。共有7,959个网站发送了此类标头。这些标头几乎都是将智能体指向另一资源的,例如llms.txt文件或MCP服务器。少数标头试图向智能体下达指令。这些内容是否会传到模型,取决于获取工具会传递响应的哪些部分,因此防御应从这里开始。

在这些网站中,7,271个发送了指向性标头,其中6,989个发送了x-llms-txt。指向性标头是服务器告诉智能体下一步去哪里,因此智能体应将这些目的地视为新的、不受信任的获取请求。只有30个网站发送了注入尝试,其中24个位于名为X-AI的标头中。大多数是恶作剧。少数要求执行真实操作的注入,只有在智能体拥有相应权限(例如Shell或数据库访问权限)时才会生效。139个网站发送了记录其是否将客户端归类为AI机器人的标头,其中136个表示该客户端是AI机器人。

一些网站利用标头对智能体进行反制。两个网站在以抗议为名的标头中放置了以Anthropic测试触发器命名的字符串,另一个网站则在错误页面上警告黑客类智能体远离。如果仅根据标头名称进行检测,将误报910个网站,因此警报应侧重于智能体在获取之后的行为。

2026年10月的测试中,在Claude Code中运行的Claude Opus、Sonnet和Haiku在默认情况下并未响应这些测试标头。当用户的提示要求它们遵循网站的指示时,它们在9次运行中有7次服从。因此,这种拒绝能力取决于提示赋予网站多大的权限。

关键实体 — 公司:Common Crawl、Palo Alto Networks Unit 42、Google Threat Intelligence Group、Anthropic

常见问题:为什么AI智能体应将HTTP响应标头视为不受信任的输入?

标头对人类读者不可见,但智能体的获取工具可以直接将其传递给模型。一些网站利用它们指向其他资源或发出指令,因此智能体应将标头内容视为可能具有恶意的文本。