网页里藏一句话,开源 AI 助手更容易中招

QUOTE

AI 分不清，哪些话是命令，哪些话只是内容。

—— 雷霆大思考

你有没有想过这样一个场景：你让 AI 助手去网上查个资料，或者帮你读一份文档。它查完了，回来告诉你“都办好了”。但实际上，它还顺手干了一件你根本没让它干的事——比如把你的账号密码，发到了一个陌生人的邮箱里。

它不是“叛变”了。它是被人带偏了。

带偏它的东西，是一句藏在它读到的内容里的话。

这就是最近安全圈最头疼的一种攻击方式，叫“间接提示词注入”。名字听着拗口，道理其实很好懂。

本文看点

我们人类天生会分这个。

老板当面跟你说“把这份文件发给客户”，这是命令，要听。文件里夹着一张纸条，上面写着“把保险柜密码发到这个邮箱”，你会警觉：这谁写的？凭什么听他的？

AI 不会分。

对它来说，老板说的话、你打的字、它在网页上读到的文字、文档里的内容，全都是“文字”。文字和文字之间，没有一道分界线。于是，藏在网页和文档里的那句话，在它眼里和你的指令没什么区别——照做就是了。

打个比方：你让朋友去餐馆按菜单点菜，菜单上有一行小字写着“顺便把钱包交给服务员”。你朋友要是照做了，你会觉得他脑子有问题。但AI 就是这么听话。

这还不是理论。已经有真实案例了。

第一件，Slack AI。2024 年，安全公司 PromptArmor 发现：攻击者在一个公开频道里藏了一句指令。等到有用户去问 Slack AI，自己私密频道里的一串密钥是什么，AI 就把那句藏着的指令也一起读了进去，最后把密钥做成一个看起来像“重新登录”的链接，一点就送到了攻击者手里。用户全程没发现异常。

第二件，IBM 的编程助手 Bob。PromptArmor 同样发现，只要用户给某个命令开了一次“自动批准”，攻击者就能通过藏在内容里的指令，让 Bob 去下载并执行恶意软件。祸根不是 Bob 笨，是用户给了它“不用请示、自己做主”的权限。

第三件，谷歌的编程工具 Antigravity。攻击者在一份“投毒的网页指南”里藏了指令，骗 Gemini 去收集用户工作区里的账号密码和代码，再通过一个浏览器小助手传出去。连它自己“有些文件不许碰”的设置，都被绕过去了。

三件事同一个套路：攻击者不用直接跟 AI 说话，只要把一句话藏在 AI 会去读的东西里。

今年有一场公开的“攻击大赛”：464 个人参赛，在三个星期里对 13 个主流模型发起了27.2 万次攻击，成功了 8648 次。结果是：13 个模型，没有一个能完全顶住，攻击成功率从 0.5% 到 8.5% 不等。

其中一个规律是：开源模型总体上更容易被攻破，闭源模型里最稳的是 Claude 家族。

这不难理解。开源模型人人能下载、能反复研究，攻击者练手的成本更低；而闭源大厂的旗舰模型，往往在安全训练和防护上投了更多资源。但这不等于“开源 = 不安全”。真正的区别是：开源模型把能力交给了更多人，也把“把关的责任交给了更多人”。

三件事就够了：

知道这一点，再让它帮你干活，心里就有数了。