Zscaler 警告称，即时注入攻击会诱骗人工智能代理进行加密货币支付

”标签告诉代理通过完成付款来解决错误。该页面还包含初始化加密货币传输到硬编码钱包的代码。该活动背后的威胁行为者正在使用 10 个 GitHub 存储库，这些存储库链接到多个包含间接提示注入的类似网站。

至关重要的是，该网站同时针对机器和人类。 “当网站由桌面浏览器呈现时，会向用户显示通过信用卡或加密货币进行的相同付款选项，”Zscaler 指出。

活动二：冒充 DeBank

在第二次活动中，威胁行为者推广了一个欺诈性网站，该网站对 DeFi 投资组合跟踪器 DeBank 进行了拼写错误。使用的间接提示告诉人工智能代理，冒充网站是合法的 DeBank 域。该欺诈网站经过优化，通过在标题和元标签中填充“DeBank Login”、“DeFi Dashboard”和“Crypto Tracker”等关键字，对 DeBank 相关搜索进行排名，并且它包含 Open Graph 和 X（以前称为 Twitter）元数据，因此该链接似乎是官方 DeBank 服务。

为了测试这些活动的影响，Zscaler 构建了一个具有网络浏览和支付执行功能的自主 AI 代理，并根据 26 种大型语言模型对其进行了评估。其中四台——Llama 3.3 70B Instruct、Llama 3.2 90B Vision Instruct、Gemini 3 Flash和Gemini 2.5 Pro——被成功操纵进行支付。只有两个，Claude Sonnet 4.5 和 GPT-5.4，将欺诈网站错误地归类为可信的 DeBank 平台。

为什么间接即时注入很难解决

间接提示注入被认为是生成人工智能中最棘手的安全问题之一，因为恶意指令并不是作为直接用户请求到达的。相反，它嵌入在代理检索和处理的数据（网页、文档、电子邮件）中，作为其工作流程的一部分。代理无法轻松区分检索到的内容中的合法指令和攻击者植入的命令，因为两者看起来都像普通文本。

Zscaler 的研究结果表明，一旦代理被授予采取现实世界行动（例如发起付款）的能力，这种模糊性就会变得危险。曾经需要针对人类进行社会工程的骗局现在可以直接编码到网络内容中，等待自动化助手读取并采取行动。

Zscaler 总结道：“随着人工智能代理成为更常见的网络界面，内容本身将成为更大的攻击面，这凸显出人工智能是一把双刃剑，它可以简化工作流程，同时也引入新的滥用途径。”

对企业和开发者的影响

该研究为部署代理人工智能的组织提供了直接的教训。在没有严格的人机交互确认的情况下授予代理付款、帐户创建或数据共享功能，将为攻击者创造一条利用受损网络内容获利的途径。 Zscaler 的测试表明，不同模型的敏感性差异很大，这意味着模型选择和模型之上的防护措施都很重要。

这项工作还强化了传统的网络安全卫生——验证包的真实性、审查拼写错误的域名以及怀疑地处理未经请求的支付请求——现在与人工智能行为相交叉。随着代理越来越多地代表用户浏览、总结和处理网络内容，受感染的网站和受感染的助手之间的界限正在消失。

保持人工智能领先地位

有关人工智能安全、安全研究以及代理系统出现的风险的持续报道，请关注 AI Buzz Wire，了解塑造负责任的人工智能的发展。

阅读更多人工智能伦理新闻 →