Un commento HTML è un markup nascosto scritto come <!-- ... -->. I browser non lo mostrano agli utenti, ma i client di posta, i parser web e gli strumenti di sicurezza possono comunque leggerlo quando elaborano il codice sorgente grezzo. Questo rende i commenti utili per gli sviluppatori, ma anche rilevanti per gli attaccanti.
Nelle campagne di phishing e negli attacchi di prompt injection, un commento può contenere istruzioni, parole chiave o testo esca che un essere umano non vede mai ma che un assistente AI o un filtro automatico potrebbe comunque ingerire. Gli attaccanti usano questo trucco per indirizzare i riassunti, eludere i controlli sulle parole chiave o nascondere un'esca all'interno del corpo di un'email. I difensori dovrebbero sanificare o rimuovere il markup nascosto prima dell'analisi, e considerare l'HTML grezzo come input non attendibile, non solo la pagina renderizzata.