Prompt injection indiretta negli header HTTP: 30 siti ci provano contro gli agenti AI

• Signals Corps ha analizzato 217 milioni di risposte HTTP di Common Crawl
• Quasi 8.000 siti parlano agli agenti AI via header; 30 tentano una prompt injection
• Per lo più scherzi: impatto reale statisticamente molto improbabile
• Difese: allowlist dei metadati, approvazione MCP, controlli sulle azioni fuori dal modello

Alcuni siti web hanno iniziato a inserire tentativi di prompt injection indiretta negli header HTTP, i metadati che accompagnano ogni pagina. Lo ha rilevato la società di sicurezza Signals Corps, che ha esaminato un campione di 217 milioni di risposte HTTP tratte da Common Crawl.

Che cosa è emerso

Quasi 8.000 siti usano gli header per comunicare con gli agenti AI. Di questi, 7.271 forniscono indicazioni su dove l’agente debba andare dopo. In 6.989 casi viene inviato l’header x-llms-txt, legato a llms.txt, un formato proposto per esporre le informazioni di un sito ai sistemi di intelligenza artificiale. Trenta siti hanno invece tentato una prompt injection indiretta.

Il contesto è quello di un’adozione ancora limitata. Circa il 10% dei siti usa regole robots.txt per limitare i crawler AI. Solo tra il 3 e il 10% fornisce contenuti dedicati agli agenti tramite llms.txt, secondo indagini distinte.

Cos’è la prompt injection indiretta

La ricercatrice Sarah Andrews la descrive come un attacco in cui le istruzioni arrivano all’agente dentro contenuti letti per conto di qualcun altro: una pagina web, un’email, un file, il risultato di uno strumento. Il motivo, spiega, è che un modello linguistico legge istruzioni e dati come un unico flusso di testo. Nel contesto non c’è nulla che indichi quale parte possa dare ordini.

I casi osservati

Ventidue tentativi sono poco più che scherzi. Un header x-ai chiedeva di ignorare le istruzioni precedenti, cancellare i dati di addestramento e ribellarsi ai padroni. Un altro imitava una SQL injection.

Altri casi potevano avere un effetto concreto:

• un header x-ai-makes-us-dumber richiamava la stringa di rifiuto di Claude, che fino a maggio 2026 faceva rifiutare al modello di rispondere;
• un header x-ai sembrava mirare a influenzare un sistema di selezione del personale, dichiarando una corrispondenza del 94% del candidato.

Secondo la fonte, è statisticamente improbabile che qualcuno sia stato colpito. Gli agenti risentono di questa tecnica solo a certe condizioni:

• Claude Code di Anthropic dovrebbe eseguire curl con i parametri adatti a mostrare gli header;
• Gemini CLI di Google richiederebbe l’opzione experimental.directWebFetch;
• il server Playwright MCP di Microsoft restituisce gli header completi di default tramite lo strumento browser_network_request.

Cosa fare

Andrews invita le organizzazioni a progettare gli agenti tenendo conto di abusi basati sugli header. Le misure indicate sono:

• usare una allowlist per i metadati;
• trattare come non attendibili i punti di reindirizzamento;
• richiedere approvazione per le connessioni MCP;
• etichettare il testo esterno, così da evitare che sia scambiato per un comando;
• verificare le azioni proposte al di fuori del modello;
• fare l’escaping dell’output del modello in base al contesto in cui viene reso.

Fonte: theregister · Foto: theregister