Tiêu đề HTTP trở thành vector mới cho các cuộc tấn công chèn prompt

Các nhà nghiên cứu tại Signals Corps đã phân tích 217 triệu phản hồi web và phát hiện rằng các máy chủ ngày càng sử dụng tiêu đề HTTP để giao tiếp với các tác nhân AI. Mặc dù hầu hết các tiêu đề này chỉ đơn giản là trỏ tác nhân đến các tệp tài liệu, một số lượng nhỏ nhưng đáng kể chứa các nỗ lực chèn trực tiếp. Phát hiện này làm nổi bật một điểm mù trong các thực hành bảo mật hiện tại, vì nhiều nhà phát triển giả định rằng chỉ nội dung trang hiển thị mới gây rủi ro cho các mô hình ngôn ngữ lớn.

Chuyện gì đã xảy ra

Nhóm nghiên cứu đã quét 10% tập dữ liệu Common Crawl từ tháng 9 năm 2026, bao gồm 217.097.223 phản hồi trang. Họ tìm kiếm cụ thể các tiêu đề phản hồi HTTP chứa văn bản nhắm mục tiêu vào hệ thống AI. Cuộc quét xác định được 7.959 trang web gửi các tiêu đề như vậy. Phần lớn trong số đó, 7.271 trang web, sử dụng các tiêu đề này như con trỏ, hướng dẫn tác nhân đến các tài nguyên như tệp llms.txt hoặc máy chủ Model Context Protocol (MCP). Tiêu đề x-llms-txt phổ biến nhất, xuất hiện trên 6.989 trang web.

Tuy nhiên, 30 trang web đã vượt quá các con trỏ đơn giản và cố gắng thực hiện chèn prompt. Hai mươi bốn trong số những nỗ lực này sử dụng một tiêu đề có tên là X-AI. Hầu hết là trò đùa, nhưng một số chứa các chỉ dẫn có thể kích hoạt hành động nếu tác nhân có đủ quyền hạn, chẳng hạn như truy cập shell hoặc cơ sở dữ liệu. Ngoài ra, 139 trang web bao gồm các tiêu đề phân loại khách hàng là bot AI, cho thấy các máy chủ đang tích cực phân biệt giữa lưu lượng truy cập của con người và tự động hóa. Một số trang web thậm chí còn sử dụng tiêu đề để phản đối việc thu thập dữ liệu bởi AI, với các tên như X-AI-Makes-Us-Dumber.

Nghiên cứu cũng thử nghiệm cách các tác nhân lập trình AI chính xử lý những tiêu đề này. Trong các bài kiểm tra tháng 10 năm 2026, Claude Opus, Sonnet và Haiku chạy trong Claude Code không hành động theo các tiêu đề thử nghiệm theo mặc định. Tuy nhiên, khi lời nhắc của người dùng chỉ rõ ràng yêu cầu các tác nhân tuân theo hướng dẫn của trang web, chúng đã tuân thủ trong bảy trên chín lần chạy. Điều này gợi ý rằng rủi ro phụ thuộc rất nhiều vào mức độ ủy quyền mà người dùng cấp cho tác nhân trong lời nhắc hệ thống của nó.

Cách thức hoạt động

Chèn prompt gián tiếp xảy ra khi một tác nhân AI đọc nội dung do bên thứ ba kiểm soát, chẳng hạn như một trang web, và coi các chỉ dẫn ẩn trong nội dung đó là một phần của chỉ thị riêng của nó. Tiêu đề phản hồi HTTP là một vector đặc biệt lén lút vì trình duyệt không hiển thị chúng cho người dùng con người. Một phản hồi HTTP bao gồm dòng trạng thái, một khối tiêu đề và phần thân. Trong khi con người chỉ nhìn thấy phần thân, công cụ fetch của tác nhân có thể truyền trực tiếp các tiêu đề vào cửa sổ ngữ cảnh của mô hình.

Việc các tiêu đề có đến được với mô hình hay không phụ thuộc hoàn toàn vào công cụ fetch mà tác nhân sử dụng. Một số công cụ, như công cụ requests của LangChain, chỉ trả về phần thân phản hồi, hiệu quả chặn vector tấn công này. Những công cụ khác, chẳng hạn như các công cụ shell chạy curl -i, truyền mọi tiêu đề phản hồi cho mô hình. Gemini CLI, khi được cấu hình với experimental.directWebFetch, gửi tất cả các tiêu đề dưới dạng JSON trong các phản hồi lỗi, bỏ qua các lớp bọc nội dung không tin cậy. Máy chủ fetch tham chiếu MCP hiếm khi truyền các tiêu đề, ngoại trừ các giá trị Content-Type trên các trang không phải HTML hoặc các lỗi robots.txt.

Chi tiết chính

• 7.959 trang web đã gửi các tiêu đề HTTP nhắm mục tiêu vào các tác nhân AI trong số 217 triệu trang được quét.
• 30 trang web chứa các nỗ lực chèn prompt thực sự, chủ yếu trong các tiêu đề X-AI.
• 7.271 trang web sử dụng các tiêu đề để trỏ tác nhân đến các tài nguyên bên ngoài như llms.txt.
• Các tác nhân như Claude Code có thể bị lừa nếu lời nhắc của chúng cấp quyền hạn cao cho nội dung trang web.
• Các công cụ fetch dựa trên shell như curl -i phơi bày tất cả các tiêu đề cho mô hình, làm tăng rủi ro.
• Các công cụ fetch chỉ lấy phần thân ngăn chặn chèn dựa trên tiêu đề bằng cách loại bỏ siêu dữ liệu trước khi xử lý.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm xây dựng tác nhân AI, nghiên cứu này tiết lộ rằng bảo mật nội dung trang hiển thị không còn đủ nữa. Nếu tác nhân của bạn sử dụng một công cụ fetch bao gồm các tiêu đề HTTP trong ngữ cảnh của nó, nó dễ bị tổn thương trước các chỉ dẫn ẩn trong siêu dữ liệu. Điều này đặc biệt quan trọng đối với các tác nhân có quyền hạn nâng cao, chẳng hạn như những tác nhân có thể thực thi lệnh shell hoặc truy cập cơ sở dữ liệu. Kẻ tấn công có thể nhúng các chỉ dẫn độc hại vào một tiêu đề, mà tác nhân có thể thực thi mà người dùng không bao giờ nhìn thấy nguồn gốc của lệnh.

Sự phổ biến của các tiêu đề con trỏ cũng thay đổi cách các tác nhân điều hướng web. Khi một tác nhân theo dõi một liên kết được cung cấp trong tiêu đề, nó đang tin tưởng vào hướng dẫn của máy chủ. Nếu đích đó lưu trữ một máy chủ MCP hoặc một tệp kỹ năng do kẻ thù kiểm soát, tác nhân có thể bị dẫn dắt vào một môi trường bị xâm phạm. Các nhà phát triển phải kiểm toán những công cụ fetch nào mà tác nhân của họ sử dụng và hiểu chính xác dữ liệu nào những công cụ đó truyền cho mô hình ngôn ngữ. Coi các tiêu đề là đầu vào không tin cậy giờ đây là một phần cần thiết của vệ sinh bảo mật AI.

Bạn có thể làm gì

• Kiểm toán công cụ fetch của tác nhân để xác nhận xem nó có truyền các tiêu đề HTTP cho mô hình hay không.
• Tắt các tính năng thử nghiệm như experimental.directWebFetch trong Gemini CLI trừ khi thực sự cần thiết.
• Hạn chế quyền shell cho các tác nhân để ngăn chúng chạy curl -i hoặc các lệnh tương tự.
• Coi bất kỳ nội dung nào được fetch từ các nguồn bên ngoài, bao gồm các tiêu đề và đích chuyển hướng, là không tin cậy.
• Cập nhật các lời nhắc hệ thống để chỉ dẫn rõ ràng cho các tác nhân bỏ qua các chỉ dẫn được tìm thấy trong siêu dữ liệu HTTP.
• Giám sát nhật ký tác nhân để tìm các cuộc gọi công cụ bất ngờ có thể chỉ ra chèn prompt gián tiếp thành công.