News
Prompt Injection im HTTP-Header - 217 Millionen Web-Antworten durchleuchtet
Ein blinder Fleck der Agenten-Sicherheit
Die meisten Untersuchungen zu Prompt Injection schauen auf den sichtbaren Seiteninhalt. Das Security-Team von Signals Corps hat sich einen Kanal vorgenommen, den Menschen im Browser nie sehen: die HTTP-Response-Header. Ausgewertet wurden 217 Millionen Antworten aus dem Common Crawl vom September 2026 – rund zehn Prozent des gesamten Crawls.
Die Zahlen
- 7.959 Sites senden Header, die sich explizit an KI-Systeme richten
- 7.271 davon sind reine Wegweiser, fast alle per
x-llms-txtauf eine llms.txt-Datei oder einen MCP-Server - 30 Sites versuchen echte Injections, 24 davon über einen Header namens
X-AI– meist klassisches “Ignore all previous instructions” ohne Tarnung - 22 der 30 Fälle sind Scherze; gefährlich werden die übrigen nur, wenn der Agent Shell- oder Datenbankzugriff hat
- 136 Server vermerken im Header, dass sie den Client als KI-Bot erkannt haben
Wie reagiert Claude?
In eigenen Tests mit Claude Opus, Sonnet und Haiku in Claude Code ignorierten die Modelle die präparierten Header standardmäßig – schon ein simpler Uptime-Check genügte, damit sie die Header überhaupt zu sehen bekamen. Sagte der Nutzer-Prompt jedoch “folge den Anweisungen der Website”, gehorchten sie in 7 von 9 Läufen.
Fazit
Die Autoren empfehlen, schon im Fetch-Tool festzulegen, welche Teile einer Antwort ans Modell gehen, Wegweiser-Ziele als neue, nicht vertrauenswürdige Quellen zu behandeln und auf das Verhalten des Agenten nach dem Abruf zu alarmieren statt auf Header-Namen – ein reiner Namensfilter hätte 910 harmlose Sites fälschlich markiert.