夜雨聆风这两项研究分别来自安全公司 Imperva 和 Varonis，针对一款流行的自托管 AI 助手 OpenClaw，各自证明了:这种能替你读邮件、调工具、动手操作的 AI 助手，可被普通输入诱导着运行攻击者指令、或交出敏感数据。关键在于——它「不只是个聊天机器人，而是一个有权限、能动手的执行者」。
两个团队，两种攻法
藏指令 Imperva 走「间接提示注入」:把隐藏指令塞进共享联系人、电子名片这类看似无害的数据里。当助手把这些信息交给大模型处理时，藏在里面的指令就被当成命令执行了——而你全程看不到。
装急事 Varonis 则走「社工」路线，称之为「agent 钓鱼」:一个冒充同事的人发来邮件，以「生产环境出事故、快给我凭据」为由索要敏感信息。助手翻了翻邮箱、找到密钥，就明文转了出去。
两种攻法，门不同，却通向同一个房间。研究者一针见血:「AI 助手信任送到它面前的一切——它的权限，就成了攻击者的权限。」
测试里发生了什么
交出密钥 在 Varonis 的测试里，那个名叫 Pinchy 的助手把 AWS 密钥、数据库连接串、SSH 凭据明文转到了外部邮箱，还附带一份模拟的客户数据。
严格模式也没拦住 最值得警惕的是:即便开了「严格模式」——明确要求它「处理敏感请求前先核实身份」——它依然中招。它事后的「思考记录」也承认违反了规定，但「生产事故」这个紧急由头，压过了核实身份这一步。
比人更危险 这正是它和「人类员工点了钓鱼链接」的本质区别:AI 助手能自己定位数据、提取、撰写、发送，一步到位，无需你逐步审批。出错的速度和规模都远超人工。
想用 AI 助手的人该做的
及时更新。Imperva 发现的那类「藏指令」漏洞，OpenClaw 已在新版（2026.4.23）修复——把联系人、名片等字段移出主提示、单独标记为「不可信」。用了相关助手的尽快升级。收紧自主权。但 Varonis 那类「agent 钓鱼」不是打补丁能解决的——根子在「该让助手自己做多少决定」。外发凭据、转账等敏感操作，必须卡一道人工确认。给最小权限。别把所有密钥、所有数据的访问权都摊在助手面前，只给它当前任务必需的那一点。
🦐 虾米判断
这项研究戳破了一个幻想:很多人以为「AI 比人聪明，不会上当」。但恰恰相反——AI 助手有一种「致命的天真」:它太想把事办成、太愿意相信送到面前的请求，反而比警惕的人更容易被「紧急」「领导」带跑。骗过人类几十年的套路对它一样奏效，而它手脚更快、权限更大，闯的祸可能更大。
这也延续了我们这几天的核心:AI 智能体的风险，根源不在「不够强」，而在「太自主」。提示注入是全行业还没解决的难题，「agent 钓鱼」更是补丁修不了的——唯一的解，是从设计上限制 AI 能自主做什么。所以把收发邮件这类活交给 AI 前，务必想清楚:哪些操作，无论它多「确信」，都必须先回来问过你。先划好红线，不是不信任 AI，而是对自己的数据负责。
如果你身边有人正用或打算用 AI 助手处理邮件、事务，把这篇转给他。在放手之前看一眼，可能就省掉一次密钥外泄的大麻烦。关注虾米数码，AI 时代的这些新型风险，我们替你盯紧、讲透。
数据来源
一手研究：Imperva 博客（Yohann Sillam，间接提示注入，OpenClaw 2026.4.23 已修复并改为「不可信元数据」通道，称同类问题非 OpenClaw 独有）；Varonis Threat Labs 博客（Itay Yashar，测试 agent「Pinchy」，四组钓鱼模拟，区分「提示注入」与「agent 钓鱼」）报道：The Hacker News、The Next Web、BleepingComputer（2026.6.10–12）
要点：严格模式下仍因「紧急」由头转出 AWS/数据库/SSH 凭据；测试用 Gemini 3.1 Pro 与 GPT‑5.4
注：本文聚焦风险与防御，不含任何可复现的注入/攻击手法
