AI 安全完整攻击链复盘：一个智能客服 Agen

客户问个工单，模型顺手调了查单工具。我一看返回记录，这客服背后还藏着读手册的工具。

手册工具本该只读白名单文件。它却把 URL、路径混成一个参数。解析失败就回退到本地读取。我顺着让它读系统文件，它真把内容当手册片段总结出来了。

里面夹着 Pod 的 JWT Token。模型没认出这是凭据，直接回了客户。拿到 Token 一查，这个服务账号权限大得吓人：能列 Pod、读 Secret，还能进容器执行命令。

更绝的是，它绑定的云身份连 Terraform state 都能读。里面全是生产环境地图。发布配置也放在同个桶里，部署身份对集群有宽泛权限。攻击者顺着这条链，就能一路摸到 K8s 控制面。

AI 助手的安全边界，就是它的工具能力边界。