HTTP响应头成AI提示注入新通道

Signals Corps 团队分析了 Common Crawl 2026 年 9 月爬取数据的 10%（约 2.17 亿个页面响应），发现其中 7,959 个网站发送了专门针对 AI 系统的 HTTP 响应头。绝大多数（7,271 个）是引导智能体访问 llms.txt 文件或 MCP 服务器的指针，仅有 30 个站点尝试通过 X-AI 等头部进行指令注入，且多为恶作剧或防御性抗议。这一发现表明，服务器利用浏览器不可见的响应头向智能体传递元数据和指令已是普遍现象，构成了传统网页文本分析之外的新攻击面。 实测数据显示，风险高度依赖智能体的 Fetch 工具实现：Shell 工具（如 curl -i）会完整暴露所有响应头，而仅读取正文的工具则能天然阻断此类攻击。在 October 2026 的测试中，Claude Opus、Sonnet 和 Haiku 模型默认拒绝执行来自响应头的指令，但当用户提示词明确授权遵循站点指示时，模型服从率高达 7/9。此外，部分站点已利用响应头实施“伪装”（Cloaking），根据 User-Agent 向人类和 AI 展示不同内容，甚至通过特定触发字符串直接干扰模型运行。 事实层面，HTTP 响应头作为元数据载体，其内容可被具备 Shell 权限或特定配置的智能体工具直接传递给模型上下文；推断层面，随着智能体获得连接新 MCP 服务器或安装技能的权限，指向这些资源的头部指针可能成为供应链攻击的入口；猜测层面，若未来更多站点采用基于 Agent 的差异化内容分发，现有的基于网页文本的安全检测机制将失效。防御核心在于默认仅传递正文、将重定向和指针视为新的未信任来源，并在模型外部建立基于任务上下文的动作审批机制。