dev.to | 📄 原文链接 | 2026-11-02 收录

你的 AI 代理什么内容都信：劫持 Claude、GPT、Gemini、Copilot 的实战地图

来源：dev.to — 2026-11-01

📋 概述

一个放在下载目录里的 README 不该能泄露你的 SSH 私钥，一封日历邀请不该能操控家里的智能设备，一封邮件不该能说服助手把公司文件发出去——但这些攻击路径都已有公开研究甚至真实 CVE 佐证。作者把这类问题统一到「间接提示注入」上：代理读到别人控制的内容，并把其中一部分当成了指令，结果是一次未授权的工具调用、一次数据外泄，或一个你从未打算执行的动作。文章借 Simon Willison 的「致命三元组」搭框架——能读私有数据、会接触到不可信内容、存在把数据送出去的通道——再按文件与仓库、MCP 工具层、Unicode 与 ANSI 隐写、邮件日历零点击、浏览器代理、多模态图像、供应链投毒、自传播蠕虫八类逐条盘点，并给出十分钟自查清单。全文不含可运行的利用代码，例子都来自公开研究或已披露漏洞。

🔑 核心要点

致命三元组是最省事的风险评估法：私有数据访问、不可信内容输入、对外发送通道三者齐备时，攻击者一句话往往就够了；但它不是安全证明，缺一条也可能被利用来改文件或删数据。
消息角色不是安全边界：system 与 user 的划分给模型结构，却不构成权限边界；授权、权限和动作上限必须在模型之外强制执行。
攻击面远不止网页正文：GitHub issue、PDF、日历邀请、README、图片里的像素文字，乃至被投毒的模型与 npm 包都是入口。
要区分演示与实战：作者明确标注哪些是受控实验、哪些是已修补的生产漏洞，避免把研究结论夸大成「大范围已被入侵」。

💡 金句

The application has to enforce authority, permissions, and action limits outside the model — the model alone can't be trusted to hold the line.
译：应用必须在模型之外去强制权限、授权和动作上限——单靠模型守不住这条线。

← 返回 dev.to 首页