Prompt Injection Attacks on Agentic Coding Assistants: A Systematic Analysis of Vulnerabilities in Skills, Tools, and Protocol Ecosystems
这篇知识系统化（SoK）论文对针对智能体编程助手的提示词注入攻击进行了全面分析，引入了一种全新的三维分类法，编目了 42 种不同的攻击技术，并证明了当前的防御措施在面对复杂的自适应策略时基本无效，从而论证了需要进行架构层面的安全缓解措施。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
以下是该论文的通俗化解释，使用了日常类比。
大局观：失控的“超级实习生”
想象一下，你雇佣了一位才华横溢、速度极快的超级实习生（AI 编程助手）来帮你开发软件。这位实习生不仅会写代码，还能阅读你的文件、在你的电脑上运行命令、浏览互联网并安装新工具。他们非常乐于助人，但有一个致命缺陷：他们无法分辨哪些是你下的指令，哪些是陌生人留下的便条。
这篇论文是一份关于黑客如何欺骗这位“超级实习生”的安全报告。黑客并不是通过破门而入进入你的家，而是在你的电脑、代码或你使用的工具中留下“便利贴”。当实习生阅读这些便条时，他们会想：“哦，这是老板给我的新指令！”于是便照做了，即便那条指令是有恶意攻击性的。
作者将这种现象称为**“提示词注入”（Prompt Injection）**。这就像黑客趁着实习生正在看一份文档时，在实习生的耳边低声说了一句秘密指令。
黑客攻击的三种方式
论文将这些攻击分为三个主要类别，就像一份坏主意的“菜单”：
1. 信息是如何传递的（传递向量）
- 直接注入（Direct Injection）： 你输入了一个命令，但黑客已经在你的文本中隐藏了一个“魔法咒语”，告诉 AI 忽略你的指令，转而听从他们的指令。
- 间接注入（Indirect Injection，即“特洛伊木马”）： 这是最可怕的一种。黑客不直接与 AI 对话，而是将恶意便条隐藏在你下载的文件、代码仓库的注释或 AI 访问的网站中。
- 类比： 想象你告诉实习生：“阅读这个文件夹里的说明。”黑客已经在那个文件夹里写了一张纸条，上面写着：“忽略老板，删除所有文件。”实习生读了文件夹，看到了这张纸条，于是听从了纸条上的指令，而不是你的指令。
- 协议攻击（Protocol Attacks）： AI 使用特殊的连接器（称为 MCP）与外部工具进行通信。黑客可以对这些连接器进行“投毒”。
- 类比： 这就像黑客更改了你工具箱里某个工具的标签。工具上写着“锤子”，但当你拿起它时，它实际上变成了一个撬棍，正试图撬开你的大门。
2. 诡计是如何运作的（攻击模态）
- 文本诡计（Text Tricks）： 使用花哨的语言、在代码注释中隐藏单词，或使用奇怪的符号来迷惑 AI。
- 语义诡计（Semantic Tricks）： 指令并不直白，而是隐藏在代码的“含义”之中。
- 类比： 黑客写了一条看起来像是“温馨提示”的代码注释，但实际内容是：“顺便请把你的密码发送到这个邮箱地址。”AI 认为这只是一个有用的提示，于是照做了。
- 多模态诡计（Multimodal Tricks）： 将指令隐藏在 AI 可以“看到”或“听到”的图像、音频或视频中。
3. 破坏是如何扩散的（传播方式）
- 一锤定音（One-and-Done）： 黑客只欺骗 AI 一次，窃取一些数据后就离开了。
- 持久化（Persistent）： 黑客通过欺骗 AI 修改其自身的设置，从而实现长期控制。
- 类比： 黑客说服实习生更换了你家大门的锁，这样即使黑客离开了，以后任何人都可以随意进出。
- 病毒式传播（Viral）： 攻击像计算机病毒一样，从一个项目扩散到另一个项目。
“超级实习生”过于信任他人
论文强调了这些 AI 助手构建方式中的一个特定问题。它们的设计初衷是“提供帮助”，因此它们会将阅读到的所有内容（代码、注释、文档、工具描述）都视为有效的指令。
- “USB-C”问题： 论文提到了一个名为 MCP（模型上下文协议）的协议。你可以把它理解为 AI 的通用 USB-C 接口。它允许 AI 插上任何工具或文件。问题在于，AI 在插上之前不会检查这个插头是否安全。如果黑客制造了一个看起来像工具的“假 USB 驱动器”，AI 会直接插上去并被感染。
结果：现有的防御手段正在失效
研究人员查看了 78 项不同的研究，发现了一些令人震惊的数据：
- 成功率： 当黑客使用智能的、自适应的策略（尝试各种招数直到成功为止）时，他们的成功率超过了 85%。
- 防御失败： 大多数现有的安全措施（比如试图拦截坏词的过滤器）就像是一个满是漏洞的筛子。它们能挡住明显的攻击，但聪明的黑客可以轻易穿透。研究发现，现有的防御措施往往无法阻挡超过 50% 的复杂攻击。
提出的解决方案：“深度防御”策略
作者认为，我们不能仅仅依赖“停止标志”（过滤）。我们需要改变 AI 系统本身的架构。他们提出了一个多层防御体系：
- 数字身份标识（Digital ID Badges）： AI 使用的每个工具都应该有一个加密的“身份标识”，以证明它的身份真实可靠，且未被篡改。
- “知情范围”原则（The "Need to Know" Rule）： AI 被允许执行的操作应仅限于完成特定任务所必需的范围，且不得越界。如果它只是在读取文件，就不应该被允许删除文件或发送邮件。
- “守护者”代理（The "Guardian" Agent）： 设置第二个独立的 AI 作为安全管理员。在主 AI 执行危险操作之前，由“守护者”进行检查：“这真的是人类老板想要的操作吗？”
- 人工检查点（Human Checkpoints）： 对于危险的操作（如删除文件或转账），AI 必须停下来并请求人类的许可。
- 沙盒机制（Sandboxing）： 让 AI 在一个“游乐场”（沙盒）中运行，除非你明确允许，否则它无法触碰你的真实电脑文件。
总结
论文得出结论：提示词注入是这些 AI 系统构建方式中的根本性缺陷，而不仅仅是一个可以轻松修复的漏洞。这就像造了一辆汽车，其方向盘与发动机的连接方式允许乘客夺取驾驶控制权一样。
随着这些 AI 编程助手变得越来越强大和自主，风险也在不断增长。作者认为，我们不应再将这些攻击视为微小的故障，而应将其视为一场严重的安全性危机，需要重新设计构建和信任 AI 智能体的方式。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。