Contexte et méthodologie
Nous avons interrogé 217 097 223 réponses HTTP issues du crawl de septembre 2026 de Common Crawl, soit 10 % d’un total de 2,17 milliards de pages. L’objectif était d’identifier les en‑têtes destinés à des systèmes d’IA, en cherchant des noms d’en‑têtes contenant les mots‑clés « AI », « LLM », « prompt », etc. Les réponses ont été récupérées avec
curl -sS -L -D - -o /dev/null https://signalscorps.comRésultats quantitatifs des en‑têtes IA
Sur les 217 M réponses, 7 959 sites ont envoyé au moins un en‑tête ciblant une IA. Parmi eux, 7 271 ont fourni des pointeurs, dont 6 989 utilisaient le champ X-LLMS-TXT. Ces pointeurs indiquent au modèle où récupérer du contenu supplémentaire, ce qui impose de traiter la destination comme non fiable. 30 sites ont tenté une injection directe, 24 via l’en‑tête X-AI. La plupart étaient des plaisanteries, mais trois demandaient réellement des actions (exécution de shell ou accès base de données). Enfin, 139 sites ont déclaré le client comme « AI bot », 136 affirmant qu’il s’agissait bien d’un agent.
Analyse des vecteurs d’injection et des mitigations
Les en‑têtes représentent un vecteur d’injection indirecte : ils ne sont jamais affichés dans le navigateur, mais les outils de récupération (curl, MCP, bibliothèques HTTP) peuvent les transmettre intégralement au modèle. Selon notre tableau de compatibilité, les agents qui ne transmettent que le corps bloquent ce canal, alors que les shells ou les fetchers personnalisés le laissent ouvert. Les tests d’octobre 2026 avec Claude Opus, Sonnet et Haiku (Claude Code) ont montré que les modèles ignoraient les en‑têtes par défaut, mais qu’ils exécutaient les instructions lorsqu’un prompt utilisateur leur conférait l’autorité requise (7 sur 9 exécutions). Les évaluations d’Anthropic en 2025 indiquent un taux de succès de 23,6 % sans mitigations et 11,2 % avec mitigations, soit environ une réussite sur neuf tentatives.
Recommandations pour les agents
Pour réduire le risque, il faut : filtrer les en‑têtes avant de les injecter dans le contexte du modèle, en particulier les champs X-LLMS‑TXT et tout en‑tête contenant les mots‑clés IA ; vérifier les destinations des pointeurs comme des requêtes non fiables ; détecter les en‑têtes de classification AI et les ignorer ou les consigner séparément ; et enfin, limiter les capacités d’exécution du modèle afin que même si une instruction passe, elle ne puisse pas déclencher d’action système. Ces mesures ciblent le point d’entrée le plus négligé par les recherches actuelles, à savoir les métadonnées HTTP.
