HTTP başlıkları yapay zeka ajanlarını şimdiden yönlendiriyor; 217 milyon yanıtlık Common Crawl taraması bunu ortaya koydu

Yapay zekaya yönelik başlıklar için 217 milyon yanıtlık tarama

Her HTTP yanıtı üç parçadan oluşur: bir durum satırı, bir başlık alanı bloğu ve tarayıcının gerçekten görüntülediği gövde. Başlıklar yazılımlar için tasarlanmış meta verilerdir ve bir sunucu istediği özel adlar icat edebilir. Tarayıcı bunların neredeyse hiçbirini insan okuyucuya göstermediği için, başlıklar bir insana değil yapay zeka ajanına seslenmek isteyenler için doğal bir kanaldır.

Analizi yayımlayan Signals Corps, Common Crawl'ın Eylül 2026 taramasının yüzde 10'unu, yani 217.097.223 sayfa yanıtını örnekledi ve yanıt başlıklarında yapay zeka sistemleri için yazılmış metinleri aradı. Şirkete göre 7.959 site, yapay zeka okuyucuya yönelik en az bir başlık gönderdi.

Başlıklar ne diyor

Bunların çoğu işaretçi. Şirket, bu sitelerin 7.271'inin ajanları llms.txt dosyası veya MCP sunucusu gibi başka bir kaynağa yönlendirdiğini, 6.989'unun ise x-llms-txt adlı bir başlık kullandığını buldu. Signals Corps'un okumasına göre bu artık rutin bir davranış: sunucuların ajanlara sırada nereye gideceklerini söylemesi.

Otuz site daha da ileri gitti ve talimat benzeri metin gönderdi; bunların 24'ü X-AI adlı bir başlık üzerinden. Araştırmacılar 30 sitenin 22'sini gizleme çabası olmayan, düz talimat-geçersiz-kılma metni olan şakalar olarak değerlendirdi. Gerçek eylemler isteyen az sayıdaki site ise yalnızca ajan tesadüfen eşleşen yetkilere sahipse, örneğin shell veya veritabanı erişimi varsa önem taşır.

Sunucular ayrıca ajanları insanlardan ayırıyor. 139 site, istemciyi yapay zeka botu olarak sınıflandırıp sınıflandırmadığını kaydeden bir başlık gönderdi ve bu sınıflandırmaların 136'sı evet dedi. Bu, yalnızca ajanlara sunulan içeriğin ön koşuludur ve Signals Corps, önemli sitelerin bir ajanın user agent'ı ile denetlenmesini öneriyor.

Bazı başlıklar ajanlara değil, ajanlara karşı yazılmış. İki site, Anthropic'in test tetikleyicilerinin adını taşıyan dizeleri X-AI-Makes-Us-Dumber gibi protesto başlıklarının içine yerleştirdi ve bir site hata sayfalarında hacker ajanları uzağa çekmeye çalışıyor. Şirket, ajanların kendilerini yönlendirmek kadar durdurmak için tasarlanmış metinlerle de karşılaşmasını bekliyor.

Tespit zor ve modeller ikna edilebilir

Yalnızca başlık adlarına göre eşleme zayıf bir savunma. Tarama, yapay zekaya yönelik 283 farklı başlık adı ortaya çıkardı; ancak başka 1.709 site, hiç yapay zekaya yönelik olmadıkları halde yapay zeka anahtar kelimeleriyle eşleşti. Şirketin hesabına göre ad temelli bir dedektör 910 siteyi yanlışlıkla işaretleyecekti. Önerisi, bir ajanın bir sayfayı çektikten sonra ne yaptığına, değil get işleminin ne döndürdüğüne bakmak.

Ekim 2026 testlerinde, Claude Code içinde çalışan Claude Opus, Claude Sonnet ve Claude Haiku test başlıklarını gerçekten görünür kıldı ve çalışma süresi denetimi gibi sıradan görevler bile başlıkları modelin önüne getirmek için yeterliydi. Modeller varsayılan olarak bunlara göre hareket etmedi. Ancak kullanıcının prompt'u modellere sitenin talimatlarını izlemelerini söylediğinde, 9 denemeden 7'sinde bu talimatlara uyduklarını gösterdi. Başka bir deyişle ret, kullanıcının prompt'unun bir web sitesine ne kadar yetki devrettiğine bağlı.

Önceki araştırmalar bu kanalı atladı

Signals Corps bulguyu mevcut çalışmalara konumlandırıyor. Palo Alto Networks Unit 42, canlı sayfalarda prompt injection iletmenin on yolunu katalogladı; sıfır boyutlu metinden URL parçalarına kadar, bunların hiçbiri yanıt başlıklarına dayanmıyordu; o veri setinde jailbreak yöntemlerinin yüzde 85,2'si sosyal mühendislikti. Google'ın Threat Intelligence Group'u Common Crawl'ın sayfa metnini aradı ve sonuçları şakalar, yararlı yönlendirmeler, arama optimizasyonu, ajan caydırma ve kötü niyetli içerik olarak sınıflandırdı; başlık enjeksiyonları bu taksonomiyi yakından yansıtıyor.

Daha geniş risk iyi belgelenmiş. Anthropic'in 2025'teki Claude for Chrome testlerinde dolaylı saldırılar hafifletmeler olmadan yüzde 23,6, hafifletmelerle yüzde 11,2 oranında başarılı oldu; yani sağlamlaştırılmış bir ajan bile kabaca dokuz denemeden birinde saldırıya göre hareket etti. Greshake ve meslektaşlarının 2023 tarihli makalesinden gelen bir terim olan dolaylı prompt injection, bir modelin talimatları ve getirilen verileri tek bir metin akışı olarak okuması nedeniyle işe yarar; OWASP bunu LLM uygulamaları için Top 10 listesinde birinci sıraya koyar.

Neden önemli

Herhangi bir başlık metninin bir modele ulaşıp ulaşmaması tamamen bir fetch aracının her yanıttan ne devrettiğine bağlı; dolayısıyla savunma modelde değil orada başlıyor. Bu tarama, tarayıcıların gizlediği kanalın ölçekte zaten aktif kullanımda olduğunu gösteriyor. Pratik sonuçlar somut: yanıt başlıklarını ajan tarafından okunabilir içerik olarak değerlendirin, llms.txt ve MCP hedeflerini talimat değil yeni ve güvenilmeyen fetch işlemleri olarak ele alın ve adları örüntü eşlemek yerine fetch sonrası ajan davranışını izleyin. Siteler yapay zeka istemcilerini zaten tespit edip etiketlediği için bir ajanın gördüğü, bir insanın gördüğünden farklı olabilir; bu da bir ajanın kendi user agent'ı ile denetimi ciddi her güvenlik incelemesinin parçası yapıyor.