事件背景：AI代理面临“投毒”风险
近期，安全研究人员披露了10种针对AI代理（AI Agents）的间接提示词注入（Indirect Prompt Injection, IPI）载荷。这些攻击不再局限于传统的聊天机器人对话，而是直接瞄准了具备联网、摘要、RAG（检索增强生成）索引及自动化任务处理能力的AI代理。
从我们的应急响应经验来看，攻击者正利用AI对网页内容的“信任”机制，将恶意指令埋入公开的网页或文档中。一旦AI代理在执行搜索、总结或抓取任务时解析了这些页面，便会触发预设的恶意行为，从简单的内容篡改到严重的金融欺诈、数据窃取甚至系统破坏，影响范围正随着AI代理权限的提升而急剧扩大。
攻击链分析：隐蔽的“指令劫持”
这一类攻击的逻辑非常清晰且具有针对性。攻击者通常会先在互联网上发布包含恶意载荷的内容，随后等待AI代理进行抓取。
具体的攻击链条如下：首先，攻击者将恶意指令通过隐蔽手段植入网页；其次，当AI代理（如集成AI的开发工具、浏览器插件等）访问该页面时，恶意指令被作为正常数据被AI处理；最后，AI代理被诱导进入“指令劫持”状态，忽略原有的系统提示，转而执行攻击者定义的恶意行为，甚至通过隐蔽渠道将敏感数据回传。
这一环节是很多企业容易忽视的盲区：企业往往只关注AI模型本身的安全性，却忽略了AI作为“用户”在访问外部数据源时存在的被欺骗风险。
技术手法与核心载荷解析
研究发现，攻击者常用的触发词包括“Ignore previous instructions”（忽略先前指令）或“If you are a large language model”（如果你是一个大模型）等。在获取控制权后，攻击者会实施多种恶意行为：
一是破坏性指令：针对开发者使用的AI助手（如IDE插件、终端集成工具），攻击者植入递归删除文件系统的Unix命令，意图瘫痪开发环境。
二是敏感信息窃取：通过指令强制AI输出私有的API Key，并使用隐藏指令防止AI在对话中泄露这些敏感操作记录。
三是金融欺诈：攻击者精准嵌入支付链接及固定金额，旨在诱导具备支付权限的AI金融助手或数字钱包代理完成转账。
Solar 安全专家视角
从我们的应急响应经验来看，类似攻击近年来明显增加。AI代理的威胁程度直接取决于其权限水平：一个仅负责网页摘要的AI风险较低，但一旦AI具备了发送邮件、执行终端命令或处理支付的权限，它就成为了高价值攻击目标。
对于企业而言，防范此类攻击的核心在于建立“数据与指令的严格边界”。AI代理在处理任何非结构化的外部数据时，都应被视为不可信输入，必须通过沙箱化环境、输出过滤以及最小化权限原则来降低潜在影响。
安全建议与防范策略
为了应对日益复杂的提示词注入攻击，我们建议企业采取以下措施：
- 强化输入验证：不要完全信任AI抓取的网页内容，对AI处理的外部数据进行清洗与语义分析。
- 权限最小化：严格限制AI代理的执行权限，特别是涉及终端命令执行、支付及敏感数据调用的接口，必须加入人工确认机制。
- 建立防御监控：针对AI代理的异常行为进行监控，例如突发的跨站数据回传、非常规的系统命令调用等。
- 边界隔离：在处理外部数据时，尽量使用隔离的中间件进行处理，避免直接将原始网页内容投喂给核心AI引擎。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com