Claude acató al sitio en 7 de 9 pruebas: bastó darle a la página un poco más de autoridad.

Un sitio web puede dejar para un agente de IA una orden en un lugar donde una persona casi nunca mira. Signals Corps comprobó 217 097 223 respuestas HTTP del recorte de Common Crawl de septiembre y encontró 30 sitios con intentos de inyección indirecta de prompts a través de cabeceras de respuesta. Esas cadenas no se ven en la propia página, pero pueden entrar directamente en el contexto del modelo.

En total 7 959 sitios transmitieron en las cabeceras HTTP datos dirigidos a sistemas de IA. La gran mayoría solo hacía referencia a llms.txt, servidores MCP y otros recursos para agentes. De los 30 sitios con intentos de imponer órdenes, 22 enviaban bromas inofensivas, y 24 usaban para instrucciones el campo X-AI. No se detectó una campaña masiva maliciosa en la muestra.

La mecánica se basa en una vulnerabilidad de la técnica conocida como inyección de prompts: el modelo recibe la tarea del usuario y contenido externo en un mismo contexto y puede tomar un texto ajeno por una instrucción. Un encabezado HTTP solo tendrá efecto cuando la herramienta del agente se lo entregue al modelo. Un navegador habitual no muestra esas cadenas al usuario, por eso la comprobación manual de la página puede no revelar nada.

El riesgo depende de la herramienta concreta. El comando curl con el parámetro -i entrega al modelo todas las cabeceras, el experimental directWebFetch en Gemini CLI puede transmitirlas en respuestas erróneas, y Playwright MCP devuelve las cabeceras completas a través de browser_network_request. Una herramienta que solo toma el cuerpo de la página corta por completo ese canal de transmisión de comandos.

Signals Corps comprobó Claude Opus, Sonnet y Haiku en Claude Code en un servidor de pruebas. Con tareas habituales, los modelos veían la cadena inyectada, pero no la ejecutaban. Cuando el prompt del usuario daba explícitamente al sitio permiso para dictar instrucciones, los agentes obedecieron en 7 de 9 ejecuciones. Los autores subrayan que cada escenario se probó solo una vez por modelo y prompt.

Entre las cabeceras encontradas no solo había bromas. Dos sitios suministraban a los sistemas de IA una evaluación ficticia de un candidato del 94%, otro pedía enviar el nombre del modelo a una dirección externa. Una trampa de investigación denominada AgentPwn instaba al agente a ejecutar el comando npx, lo que, si se redirigiera a un paquete malicioso, podría conducir a la ejecución de código ajeno.

Un escenario más preocupante, según Sara Andrews, es la ocultación de contenido dirigida a un cliente de IA concreto. En la muestra, 136 sitios ya identificaban CCBot como un bot de IA, lo que muestra que los servidores están preparados para distinguir visitantes automáticos. El servidor puede mostrar al agente unos datos y al humano, durante la comprobación manual, otros. Un problema similar ya se había manifestado en agentes de navegador, donde el contenido externo se convertía en una instrucción.

Signals Corps aconseja, por defecto, entregar al modelo solo el cuerpo de la página, no permitir que los sitios establezcan reglas para el agente mediante prompts del sistema y exigir confirmación antes de ejecutar comandos procedentes de contenido cargado. La compañía valora la amenaza actual de inyecciones HTTP como baja, sin embargo recomienda monitorizar por separado la ocultación y las acciones del agente tras las solicitudes web.