KI-Agenten im Netz: Versteckte Befehle im Header sind (noch) Scherze
16. Oktober 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Webseiten verstecken inzwischen Anweisungen an KI-Agenten in ihren HTTP-Headern, also in Daten, die kein Mensch im Browser sieht. Das Sicherheitsunternehmen Signals Corps hat dafür rund 217 Millionen Seitenantworten aus dem Common Crawl ausgewertet und 30 Websites mit echten Manipulationsversuchen gefunden, die meisten davon Scherze. Entwarnung ist das trotzdem nicht: Wer KI-Agenten im Web recherchieren, Bewerbungen sichten oder Aufgaben erledigen lässt, sollte die Schutzregeln kennen, bevor aus dem Scherz ein Geschäftsmodell wird.
Was die Forscher gefunden haben
Jede Webseite schickt neben dem sichtbaren Inhalt sogenannte Header mit: technische Zusatzinformationen wie Zeichensatz oder Caching-Regeln. Signals Corps hat Header aus 217.097.223 Seitenantworten untersucht, das sind etwa zehn Prozent des Common-Crawl-Datensatzes vom September 2026 (Quelle: signalscorps.com). 7.959 Websites richteten sich darin ausdrücklich an KI-Systeme. Der Großteil ist harmlos: 7.271 Seiten verweisen lediglich auf maschinenlesbare Zusatzinfos wie eine llms.txt-Datei, 511 formulieren Regeln zum Crawling oder Training. Nur 30 Seiten versuchten, einen Agenten zu übersteuern. 22 davon waren Streiche nach dem Muster „Ignoriere alle vorherigen Anweisungen“, die im schlimmsten Fall eine unbrauchbare Antwort erzeugen. The Register hat die Auswertung aufgegriffen und hält es für statistisch äußerst unwahrscheinlich, dass bisher jemand geschädigt wurde (Quelle: theregister.com).
Warum eine andere Studie viel höhere Zahlen nennt
Eine Forschungsgruppe um Soheil Khodayari und Giancarlo Pellegrino kommt in einer im April veröffentlichten Studie auf ganz andere Größenordnungen: rund 15.300 bestätigte indirekte Prompt Injections auf 11.700 Seiten, ermittelt aus 1,2 Milliarden URLs (Quelle: arxiv.org). Laut einer Auswertung von trackr.live steckte etwa die Hälfte davon in HTTP-Headern (Quelle: trackr.live). Ein Widerspruch ist das nur auf den ersten Blick. Die Studie zählt einzelne Fundstellen statt Websites und rechnet auch Schutzhinweise für Inhalte sowie Bot-Erkennung mit ein. Signals Corps sortiert genau diese Kategorien aus. Beide Arbeiten bestätigen, dass der Kanal genutzt wird. Wie viel davon wirklich Schaden anrichten soll, ist offen: Die Header-Treffer der Studie wurden laut trackr.live nicht einzeln geprüft, und Signals Corps fand nur eine Handvoll echter Versuche.
Wann Agenten tatsächlich darauf hereinfallen
Gefährlich wird ein Header nur, wenn das Werkzeug des Agenten ihn überhaupt an das Sprachmodell weiterreicht. Laut The Register ist das etwa beim Netzwerk-Werkzeug des Playwright-MCP-Servers von Microsoft standardmäßig der Fall, bei Claude Code oder dem Gemini CLI nur unter bestimmten Einstellungen. Aufschlussreicher ist ein kleiner Test von Signals Corps mit Claude Code: Bei normalen Fragen sahen die Modelle den präparierten Header, folgten ihm aber nicht. Sobald der Prompt dem Agenten sagte, er solle den Anweisungen der Website folgen, gehorchten sie in sieben von neun Durchläufen. Die Stichprobe ist klein, die Richtung aber deutlich. Auch Herstellerzahlen zeigen, dass das Problem nicht gelöst ist: Anthropic selbst gibt für seinen Browser-Agenten Claude for Chrome eine Erfolgsquote von Angriffen von 23,6 Prozent ohne und 11,2 Prozent mit Schutzmaßnahmen an (Quelle: claude.com).
Das eigentliche Risiko: Seiten, die nur Agenten etwas anderes zeigen
Die Forscher halten eine andere Entwicklung für wichtiger. Server erkennen KI-Agenten bereits am User-Agent oder an der Art der Anfrage und können ihnen gezielt andere Inhalte ausliefern. Auf zwei Websites fanden sich gefälschte Bewerberbewertungen, etwa sinngemäß „Bewerberstatus: 94 Prozent Übereinstimmung“, gedacht für KI-gestützte Bewerbervorauswahl. Signals Corps verweist zudem auf einen Test von SPLX: Ein manipulierter Lebenslauf erreichte bei der KI-Bewertung 88 Punkte und Platz eins, der echte nur 26 Punkte und den letzten Platz. Weil der sichtbare Seiteninhalt identisch bleibt, fällt so etwas bei einer manuellen Kontrolle nicht auf.
Was das für Unternehmen bedeutet
Die meisten Mittelständler betreiben keine eigenen Coding-Agenten. Betroffen sind sie trotzdem, sobald ein Workflow Webinhalte abruft und ungefiltert an ein Sprachmodell gibt: die Pflegevermittlung, die Bewerbungsunterlagen mit KI vorsortiert, die Agentur, die Wettbewerber-Websites automatisch zusammenfassen lässt, oder der Händler, der Lieferantenpreise per Agent einsammelt. Die Empfehlungen der Forscher lassen sich gut übersetzen:
Bestand aufnehmen: Welche Tools und Automationen holen Webinhalte, und geben sie nur den Seitentext oder die komplette Antwort samt Headern ans Modell weiter?
Keine Autorität für fremde Seiten: Prompts nie so formulieren, dass der Agent „den Anweisungen der Website folgen“ soll.
Freigabe vor Aktionen: Programme installieren, Mails versenden oder neue Verbindungen aufbauen nur nach Bestätigung durch einen Menschen.
Protokollieren: Auffällig ist, wenn auf einen Seitenabruf eine themenfremde Aktion oder eine Anfrage an eine neue Adresse folgt.
Der Aufwand dafür ist überschaubar, verlangt aber Prozesswissen. Wer KI-Automation einführt, sollte diese Leitplanken von Anfang an in den Workflow einbauen, statt sie nachträglich an eine Standardlösung anzuflanschen. Gerade bei individuellen Integrationen, in denen Agenten mit CRM, Postfach oder Bewerbermanagement verbunden sind, entscheidet die saubere Trennung zwischen Daten und Befehlen über die Sicherheit. Ein strukturierter KI-Potenzial-Check deckt solche Schnittstellen meist schnell auf. Für den Start reicht eine Stunde mit der Person, die die Automationen betreut, und eine Liste aller Stellen, an denen KI Webinhalte liest.
