Sites já escondem ordens para agentes de IA em cabeçalhos HTTP

Quem usa agentes de IA para pesquisar na web, ler páginas e executar tarefas ganhou um motivo concreto de atenção. Uma análise da empresa de segurança Signals Corps, descrita em reportagem da The Register assinada por Thomas Claburn e publicada na quinta-feira (15), encontrou sites que passaram a esconder instruções para agentes de IA nos cabeçalhos HTTP, a parte "invisível" da resposta que um servidor envia antes mesmo do conteúdo da página. É a chamada injeção indireta de prompt, agora num lugar onde quase ninguém olhava.

O que a pesquisa encontrou

A pesquisadora de ameaças Sarah Andrews, autora da análise, amostrou 217 milhões de respostas HTTP do Common Crawl, um grande arquivo público da web. Segundo a The Register, quase 8 mil sites já enviam mensagens dirigidas a agentes de IA por meio dos cabeçalhos. Desses, 7.271 incluíam indicações de para onde o agente deveria ir em seguida, e 6.989 enviavam um cabeçalho chamado x-llms-txt, ligado ao llms.txt, um formato proposto para entregar conteúdo pensado para máquinas.

A maior parte é inofensiva e até útil: o site simplesmente avisa ao agente onde estão as informações organizadas. O problema está em um grupo bem menor. Foram 30 sites que tentaram, de fato, injetar instruções, e 22 deles pareciam pegadinhas. Um mandava o agente apagar os próprios dados de treinamento e se rebelar contra seus operadores. Outro trazia uma sequência no estilo de injeção de SQL, que não faz sentido para um modelo de linguagem.

Os casos que poderiam ter efeito

Alguns cabeçalhos eram mais sofisticados. Um deles, sob a chave x-ai-makes-us-dumber, citava a "string de recusa" do Claude, um texto que, até maio de 2026, fazia o modelo se recusar a responder. Outro, sob a chave x-ai, tentava influenciar um sistema de triagem de currículos feito com IA, alegando que o candidato tinha 94% de aderência à vaga. Esse segundo exemplo é o que mais chama a atenção de quem trabalha com contratação, atendimento ou qualquer fluxo em que um agente lê textos de terceiros e toma decisões.

A própria reportagem faz um contrapeso importante: é estatisticamente muito improvável que alguém tenha sido afetado de verdade até agora. A exposição depende da configuração de cada ferramenta. Segundo o texto, o Claude Code precisaria rodar o comando curl com opções específicas para enxergar os cabeçalhos de resposta, e o Gemini CLI, do Google, exigiria a ativação da opção experimental experimental.directWebFetch. Já o servidor MCP do Playwright, da Microsoft, devolve os cabeçalhos completos por padrão, o que o deixa mais exposto.

Por que a injeção indireta é tão difícil de resolver

Andrews define a injeção indireta de prompt como um ataque em que as instruções chegam ao agente dentro de um conteúdo que ele lê a pedido de outra pessoa, como uma página da web ou o resultado de uma ferramenta. A raiz do problema, segundo ela, é que os modelos processam instruções e dados como um único fluxo de texto e não conseguem, de forma confiável, distinguir o que é comando do que é apenas informação. Por isso, não existe um filtro simples que resolva tudo: qualquer texto lido pelo agente é, em tese, uma porta de entrada.

Esse é o mesmo tipo de risco que já apareceu em outros casos recentes, como a petição com instruções escondidas para enganar ferramentas de IA e as falhas em assistentes de programação reunidas na notícia sobre o Plugin4Shell. A diferença agora é o local do truque: o cabeçalho HTTP é uma camada que a maioria dos usuários nunca vê e que muitas ferramentas descartam antes de mostrar a página.

As recomendações da pesquisadora

Andrews propõe um conjunto de medidas para quem constrói ou configura agentes. A primeira é criar uma lista de permissões com os metadados que o agente pode ler, em vez de aceitar tudo o que o servidor mandar. A segunda é tratar destinos de redirecionamento como não confiáveis. A terceira é exigir aprovação humana para conexões MCP. Também recomenda rotular o texto externo para que ele não seja tratado como comando, verificar as ações propostas fora do modelo e escapar a saída do modelo conforme o contexto em que será exibida.

Para quem integra agentes a sistemas reais, a mensagem é que a defesa não pode depender de o modelo "perceber" o golpe. A checagem precisa ficar numa camada separada, que valide se aquela ação faz sentido antes de executá-la, especialmente quando envolve dinheiro, envio de e-mails ou acesso a arquivos.

O que isso muda para quem trabalha com IA no Brasil

Para o pequeno empreendedor, o risco imediato é baixo, já que a maioria dos usos ainda é um chat em que a pessoa cola um texto e lê a resposta. A situação muda quando se dá autonomia ao agente: pedir que ele navegue, leia sites de fornecedores, responda clientes ou classifique candidatos. É nesse ponto que um texto escondido por terceiros pode tentar mudar o comportamento da ferramenta. Quem quer entender onde fica essa fronteira pode começar pela diferença explicada no guia sobre agente de IA, chatbot e automação.

Alguns cuidados práticos seguem o bom senso. Antes de liberar um agente para agir sozinho, vale usar o checklist para escolher ferramentas de IA com segurança e conferir se a ferramenta pede aprovação para ações sensíveis. Quem vende automações para clientes, como no modelo descrito em pacotes de automação de IA para negócios locais, também deveria incluir limites de permissão no escopo do serviço. E, em fluxos que decidem sobre pessoas, como a triagem de currículos, a revisão humana continua sendo a salvaguarda mais barata. O tema se conecta ao direito de questionar esse tipo de resultado, tratado em decisão automatizada e LGPD.

O que acompanhar daqui para frente

Os números mostram um cenário ainda inicial: 30 tentativas em 217 milhões de respostas é uma fração minúscula, e a maioria é piada de quem sabe que agentes passam por ali. Mas a existência de cabeçalhos que citam modelos específicos e tentam enganar um avaliador de currículos indica que o experimento já começou a sair da brincadeira. À medida que mais agentes lerem a web por conta própria, tende a crescer o incentivo para quem queira manipulá-los.

O ponto a observar é se os fabricantes de navegadores de agente e de servidores MCP passarão a descartar ou isolar por padrão os cabeçalhos de resposta, e se o llms.txt, hoje usado por algo entre 3% e 10% dos sites segundo pesquisas citadas pela reportagem, ganhará regras de segurança explícitas. Enquanto isso, a orientação é simples: trate tudo o que o agente lê como dado, nunca como ordem, e mantenha uma pessoa na aprovação de qualquer ação que tenha custo ou impacto real.