HTTP Başlıklarında Prompt Injection: 217 Milyon Web Yanıtı Ne Gösteriyor?

Common Crawl'un Eylül 2026 taramasındaki 2,17 milyar sayfanın %10'unu oluşturan 217.097.223 HTTP yanıt başlığı incelendi. 7.959 sitenin yapay zeka sistemlerine özel başlık gönderdiği görüldü. Bunların neredeyse tamamı ajanları llms.txt veya MCP sunucusuna yönlendirirken, küçük bir kısmı doğrudan komut vermeyi deniyor. Başlıkların modele ulaşıp ulaşmaması, fetch aracınızın yanıtın hangi kısımlarını modele ilettiğine bağlıdır; dolayısıyla savunma fetch katmanında başlar.

• 7.959 site yapay zekayı hedefleyen başlık gönderdi: Başlıklar üzerinden ajanlara talimat iletmek artık rutin bir pratik haline gelmiştir. Geliştiriciler, HTTP başlıklarını ajanların doğrudan okuduğu ve işlediği girdilerin ayrılmaz bir parçası olarak ele almalıdır.
• 7.271 site yönlendirici (pointer) gönderdi (6.989'u x-llms-txt): Yönlendirici, sunucunun ajana bir sonraki adımda nereye gideceğini söylemesidir. Ajan mimarinizin bu hedef bağlantıları kesinlikle yeni, doğrulanmamış ve güvenilmez (untrusted) harici istekler olarak işlediğinden emin olun.
• 30 sitede injection girişimi saptandı (24'ü X-AI başlığında): Tespit edilenlerin çoğu zararsız şakalardan ibaretti. Gerçek bir eylem talep eden az sayıdaki saldırı ise yalnızca ajanın kabuk (shell) veya veritabanı gibi kritik araç yetkilerine sahip olduğu senaryolarda çalışır.
• 139 site istemciyi yapay zeka botu olarak sınıflandırdı (136'sı doğruladı): Web sunucuları insan ile yapay zekayı ayrıştırabilmektedir; bu da sadece ajanlara yönelik dinamik içerik sunmanın temelidir. Kritik sistemlerinizi mutlaka bir ajanın User-Agent başlığıyla denetleyin.
• Bazı siteler ajanları geri püskürtmek için başlık kullanıyor: Kimi siteler X-AI-Makes-Us-Dumber gibi protesto başlıklarıyla veya hata sayfalarında uyarılarla ajanları caydırmaya çalışıyor. Ajanlarınızın yönlendirmelerin yanı sıra durdurma amaçlı metinlerle de karşılaşacağını öngörmelisiniz.
• 283 farklı başlık adı yapay zekayı hedefledi: AI anahtar kelimesi içeren 1.709 sitenin 910'u salt isim bazlı filtrelerde hatalı pozitif verebilirdi. Yalnızca başlık ismine değil, ajanın fetch sonrasında gerçekleştirdiği eylemlere odaklanan alarmlar kurun.
• Claude modelleri varsayılan olarak başlıklardaki talimatlara uymadı: Claude Code üzerinde çalışan Claude Opus, Sonnet ve Haiku ile yapılan testlerde modeller başlıkları görmüş ancak varsayılan olarak uygulamamıştır. Fakat kullanıcı prompt'u ajana "sitenin talimatlarını izle" dediğinde, 9 denemenin 7'sinde itaat etmişlerdir. Yani ret davranışı, sistem prompt'unuzun harici siteye ne kadar yetki tanıdığına doğrudan bağlıdır.

Araştırmaların Çoğunun Gözden Kaçırdığı Bir Rota#

Web üzerindeki prompt injection araştırmalarının çoğu doğrudan sayfa gövdesine odaklanır. Palo Alto Networks Unit 42'nin listelediği on enjeksiyon yönteminin hiçbiri HTTP yanıt başlıklarını kapsamaz. İncelemelerinde sosyal mühendislik jailbreak yöntemlerinin %85,2'sini oluşturmaktadır ve başlıklardaki saldırılar da bu profile tam uyar: Tarayıcılar başlıkları son kullanıcıya göstermediğinden, saldırganlar hiçbir gizleme yapmadan doğrudan "ignore all previous instructions" metinleri yerleştirmiştir. Google Tehdit İstihbarat Grubu'nun sayfa metinlerindeki bulgularına benzer şekilde, başlıklardaki 30 enjeksiyonun 22'si zararsız şakalardan oluşmaktadır.

Peki Ajanlar Bugün Ne Kadar Risk Altında?#

Modeller enjeksiyonları tanımada yetkinleşse de hala bazılarına uymaktadır. Anthropic'in Claude for Chrome testlerinde saldırı başarı oranı korumasız durumda %23,6 iken, önlemlerle %11,2'ye inmiştir; yani güçlendirilmiş bir ajan bile her 9 girişimden birinde etkilenmektedir. Geliştiriciler için asıl risk iki temel soruya indirgenir: Fetch aracınız başlıkları modele aktarıyor mu ve ajanınız bu komutlar doğrultusunda tehlikeli araçları (tool calling) çalıştırma yetkisine sahip mi?

---

Bu konuyu derinlemesine öğrenmek isterseniz: Inference Saldırıları modülüne göz atın.