Grafana 修复可泄露用户数据的 AI 漏洞

Grafana 是一个流行的可观测性平台，用于汇总和追踪与财务、遥测、运维、基础设施、客户等相关的业务数据。由于该平台的性质天然将其与组织内最核心的信息资产连接在一起，因此攻陷Grafana 实例可能会造成毁灭性后果。

AI 安全厂商 Noma 于今日发布文章，详述了名为 “GrafanaGhost” 的间接提示注入攻击，可导致威胁行动者窃取数据。该攻击依赖于 Grafana AI 组件处理信息的方式。简言之，攻击者将在受控的网页中隐藏恶意指令，并通过控制指令显示为无害的方式，将所要求的敏感数据返回给受攻击者控制的服务器。Grafana 的 AI 助手用户将访问由攻击者构造的 URL 路径，Grafana 将在恶意图像文件开始加载后，      。

该漏洞已修复。

GrafanaGhost 的运作原理

Noma 公司研究人员提供的提示注入的目的是了解用户可能与 Grafana AI 组件交互的地方，因为面向用户的任何内容都可能促成提示注入攻击。调试之后，研究人员发现了处理间接提示的地方并认为图像标记是创建恶意命令的可行渠道。尽管外部图像配备有防护措施来抵御此类攻击，但研究人员设法通过使用与协议相关的 URL 规避域验证以及通过关键词 “INTENT” 来禁用 AI 模型防御措施，导致 Grafana 将外部提示视作非恶意性质。设置好后，在图像开始渲染受害者还未察觉到时，数据就被窃取。

研究人员提到，无需防护人员点击加载恶意页面的步骤即可实施攻击。他提到，“攻击者需要将间接提示存储在 Grafana AI 组件后续检索喝处理的位置。一旦 payload 位于数据库中，那么当用户通过 Grafana 实例执行正常互动（如浏览条目日志）时就会自动执行。用户是毫不知情的触发者而非钓鱼攻击的目标，这就是为何攻击如此隐蔽的原因所在。”

Noma 公司盛赞 Grafana 的及时处理。该公司提到，研究员负责任地披露该漏洞后，Grafana“立即着手，与我们一起验证，并尽可能快地推出修复方案，保护用户的安全。”

Grafana 对漏洞机制有不同看法

Grafana Labs的首席信息安全官 Joe McManus 表示，Noma 公司的研究员从 Markdown 组件的图像渲染器中发现了一个问题，并“已被迅速修复”。

不过，Grafana 对于 Noma 所述的“零点击”或攻击可静默并自动在后台执行的情况持有不同意见。前者表示，“任何利用成功都要求大量用户交互，具体而言，最终用户必须反复要求AI助手遵循日志中包含的恶意指令，即使AI助手已提醒用户注意恶意指令后仍然如此。我们申明，未有证据表明该漏洞已遭在野利用，Grafana Cloud 数据并未遭泄露。”

Noma 公司回应称，利用要求“少于两个步骤”，该AI助手从未提醒用户条目日志中存在恶意指令，“没有任何告警、标记或提示要求用户进行确认。该模型自动处理间接提示，将日志内容解析为合法上下文并静默执行操作，无任何限制也没有提醒用户发现异常情况。用户无法看到后台发生的情况也没有机会进行干预。我们尊重 Grafana 的快速响应以及对用户安全的重视。但我们无法容忍对利用机制的不准确描述。漏洞研究成果已记录，我们对研究揭示的情况很有把握。”