Всего 7959 сайтов передавали в HTTP-заголовках данные для ИИ-систем. Большинство ссылалось на llms.txt, MCP-серверы и другие ресурсы для агентов. В 22 случаях нашли безобидные розыгрыши, а 24 сайта использовали поле X-AI.
Нейросеть получает задание пользователя и внешний текст в одном контексте, поэтому может принять чужую строку за инструкцию. Обычный браузер эти заголовки не показывает.
Риск зависит от инструмента, который получает страницу. Команда curl с параметром -i передаёт модели все заголовки, directWebFetch в Gemini CLI может передавать их при ошибках, а Playwright MCP возвращает полные заголовки. Инструмент, который забирает только содержание страницы, этот канал отсекает.
Signals Corps проверила модели Claude, чат-бота компании Anthropic, в Claude Code. При обычных заданиях они видели внедрённую строку, но не выполняли её. Когда задание разрешало сайту диктовать правила, агенты подчинились в семи из девяти запусков.
Два сайта передавали вымышленную оценку кандидата в 94%, ещё один просил отправить название модели на внешний адрес. Ловушка AgentPwn предлагала запустить команду npx. При переносе такого приёма на вредоносный пакет это могло привести к выполнению чужого кода.
Signals Corps также обнаружила 136 сайтов, которые распознавали CCBot как ИИ-бота. Это позволяло серверу показывать агенту одни данные, а человеку при ручной проверке другие.
Signals Corps оценила текущую угрозу HTTP-инъекций как низкую. Она рекомендовала передавать модели только содержание страницы, запрещать сайтам задавать правила через системные промпты и требовать подтверждение перед запуском команд из загруженного контента.
Подробности опубликованы на странице securitylab.ru.
