HTTP-Header sind ein neues Einfallstor für Prompt-Injection-Angriffe

Forscher von Signals Corps analysierten 217 Millionen Webantworten und stellten fest, dass Server zunehmend HTTP-Header nutzen, um mit KI-Agenten zu kommunizieren. Während die meisten dieser Header Agenten lediglich auf Dokumentationsdateien verweisen, enthalten eine kleine, aber signifikante Anzahl direkte Injection-Versuche. Diese Entdeckung hebt einen blinden Fleck in den aktuellen Sicherheitspraktiken hervor, da viele Entwickler davon ausgehen, dass nur sichtbarer Seiteninhalt ein Risiko für große Sprachmodelle darstellt.

Was passiert ist

Das Forschungsteam scannte 10 % des Common-Crawl-Datensatzes vom September 2026, der 217.097.223 Seitenantworten umfasst. Sie suchten gezielt nach HTTP-Antwortheadern, die Text an KI-Systeme richten. Der Scan identifizierte 7.959 Websites, die solche Header sendeten. Die überwiegende Mehrheit, 7.271 Websites, nutzte diese Header als Zeiger, die Agenten zu Ressourcen wie llms.txt-Dateien oder Model Context Protocol (MCP)-Servern leiteten. Der Header x-llms-txt war am häufigsten und erschien auf 6.989 Websites.

Jedoch gingen 30 Websites über einfache Zeiger hinaus und versuchten Prompt-Injections. Vierundzwanzig dieser Versuche nutzten einen Header namens X-AI. Die meisten waren Streiche, aber einige enthielten Anweisungen, die Aktionen auslösen könnten, wenn der Agent ausreichende Berechtigungen besitzt, wie z. B. Shell- oder Datenbankzugriff. Zusätzlich klassifizierten 139 Websites den Client durch Header als KI-Bot, was darauf hindeutet, dass Server aktiv zwischen menschlichem und automatisiertem Traffic unterscheiden. Einige Websites nutzten sogar Header, um gegen das Scraping durch KI zu protestieren, mit Namen wie X-AI-Makes-Us-Dumber.

Die Studie testete auch, wie große KI-Coding-Agenten mit diesen Headern umgingen. In Tests im Oktober 2026 handelten Claude Opus, Sonnet und Haiku, die in Claude Code liefen, standardmäßig nicht aufgrund der Test-Header. Als jedoch die Eingabeaufforderung des Nutzers die Agenten explizit anwies, den Anweisungen der Website zu folgen, gehorchten sie in sieben von neun Durchläufen. Dies deutet darauf hin, dass das Risiko stark davon abhängt, wie viel Autorität der Nutzer dem Agenten in seiner System-Prompt gewährt.

Wie es funktioniert

Indirekte Prompt-Injection tritt auf, wenn ein KI-Agent Inhalte liest, die von einer dritten Partei kontrolliert werden, wie z. B. einer Webseite, und versteckte Anweisungen innerhalb dieser Inhalte als Teil seiner eigenen Direktive behandelt. HTTP-Antwortheader sind ein besonders tückisches Einfallstor, da Browser sie menschlichen Nutzern nicht anzeigen. Eine HTTP-Antwort besteht aus einer Statuszeile, einem Block von Headern und dem Body. Während Menschen nur den Body sehen, kann das Fetch-Tool eines Agenten die Header direkt in den Kontextfenster des Modells übergeben.

Ob Header das Modell erreichen, hängt vollständig vom Fetch-Tool ab, das der Agent nutzt. Einige Tools, wie das LangChain-Requests-Tool, geben nur den Antwort-Body zurück und blockieren effektiv dieses Angriffsvektor. Andere, wie Shell-Tools, die curl -i ausführen, übergeben jeden Antwort-Header an das Modell. Die Gemini CLI sendet bei Konfiguration mit experimental.directWebFetch alle Header als JSON in Fehlerantworten und umgeht dabei Wrapper für nicht vertrauenswürdige Inhalte. Der MCP-Referenz-Fetch-Server übergibt selten Header, außer Content-Type-Werten auf Nicht-HTML-Seiten oder robots.txt-Fehlern.

Wichtige Details

• 7.959 Websites sendeten HTTP-Header, die sich an KI-Agenten richteten, von 217 Millionen gescannten Antworten.
• 30 Websites enthielten tatsächliche Prompt-Injection-Versuche, meist in X-AI-Headern.
• 7.271 Websites nutzten Header, um Agenten auf externe Ressourcen wie llms.txt zu verweisen.
• Agenten wie Claude Code können getäuscht werden, wenn ihre Prompts hohe Autorität für Website-Inhalte gewähren.
• Shell-basierte Fetch-Tools wie curl -i exponieren alle Header gegenüber dem Modell und erhöhen das Risiko.
• Nur-Body-Fetch-Tools verhindern Header-basierte Injektionen, indem sie Metadaten vor der Verarbeitung verwerfen.

Warum es wichtig ist

Für Software-Ingenieure, die KI-Agenten entwickeln, zeigt diese Forschung, dass die Absicherung des sichtbaren Seiteninhalts nicht mehr ausreicht. Wenn Ihr Agent ein Fetch-Tool verwendet, das HTTP-Header in seinen Kontext aufnimmt, ist er anfällig für Anweisungen, die in Metadaten versteckt sind. Dies ist besonders kritisch für Agenten mit erhöhten Berechtigungen, wie solche, die Shell-Befehle ausführen oder auf Datenbanken zugreifen können. Ein Angreifer könnte böswillige Anweisungen in einen Header einbetten, die der Agent möglicherweise ausführt, ohne dass der Nutzer jemals die Quelle des Befehls sieht.

Die Verbreitung von Zeiger-Headern verändert auch, wie Agenten im Web navigieren. Wenn ein Agent einem Link folgt, der in einem Header bereitgestellt wird, vertraut er der Anweisung des Servers. Wenn dieses Ziel einen MCP-Server oder eine Skill-Datei hostet, die von einem Gegner kontrolliert wird, könnte der Agent in eine kompromittierte Umgebung gelenkt werden. Entwickler müssen prüfen, welche Fetch-Tools ihre Agenten verwenden, und genau verstehen, welche Daten diese Tools an das Sprachmodell übergeben. Das Behandeln von Headern als nicht vertrauenswürdige Eingabe ist nun ein notwendiger Teil der KI-Sicherheitshygiene.

Was Sie tun können

• Prüfen Sie das Fetch-Tool Ihres Agenten, um zu bestätigen, ob es HTTP-Header an das Modell übergibt.
• Deaktivieren Sie experimentelle Funktionen wie experimental.directWebFetch in der Gemini CLI, es sei denn, sie sind strikt notwendig.
• Beschränken Sie Shell-Berechtigungen für Agenten, um zu verhindern, dass sie curl -i oder ähnliche Befehle ausführen.
• Behandeln Sie alle Inhalte, die von externen Quellen abgerufen werden, einschließlich Header und Redirect-Ziele, als nicht vertrauenswürdig.
• Aktualisieren Sie System-Prompts, um Agenten explizit anzuweisen, Anweisungen in HTTP-Metadaten zu ignorieren.
• Überwachen Sie Agenten-Logs auf unerwartete Tool-Aufrufe, die auf erfolgreiche indirekte Prompt-Injections hinweisen könnten.