Badania przeprowadzone przez Signals Corps wykazały, że coraz więcej witryn komunikuje się z agentami AI za pomocą nagłówków HTTP. Choć większość tych komunikatów służy jedynie nawigacji, część z nich zawiera próby ataku typu indirect prompt injection. Atak ten polega na przemyceniu instrukcji w danych, które model językowy traktuje jako jeden ciąg tekstowy, nie odróżniając poleceń użytkownika od danych wejściowych.
Analiza 217 milionów odpowiedzi HTTP wykazała 30 przypadków prób takich manipulacji. Większość z nich miała charakter żartobliwy, na przykład nakazując modelowi bunt przeciwko twórcom, jednak niektóre zawierały bardziej celowe próby, jak próba wpłynięcia na procesy rekrutacyjne AI czy wykorzystanie specyficznych ciągów znaków powodujących odmowę odpowiedzi przez model Claude.
Skuteczność takiego ataku zależy od tego, czy dany agent AI ma dostęp do pełnych nagłówków odpowiedzi. Przykładowo, narzędzia takie jak Microsoft Playwright MCP server domyślnie zwracają pełne nagłówki, co zwiększa ryzyko. Aby się chronić, organizacje powinny stosować białe listy metadanych, traktować punkty przekierowań jako niepewne oraz wyraźnie oddzielać dane zewnętrzne od instrukcji systemowych.
