具備代理能力的 AI 瀏覽器正逐步進入主流，但資安研究人員發出警告：只需一個精心設計的惡意網頁，就可能「挾持」你的 AI 助理，讓它在已登入帳號中替攻擊者辦事。

這類攻擊手法被稱為間接提示詞注入（Indirect Prompt Injection）——攻擊者將特殊指令隱藏在網頁內容、電子郵件或文件中，當 AI 瀏覽器代理存取這些資源時，便可能把外部指令誤解為使用者下達的命令，進而執行偷看隱私資料、發送電子郵件或未授權購物等危險操作。

重點

  • 根本性架構缺陷：AI 系統必須同時處理「使用者真實指令」與「外部網頁內容」，卻難以完美區分兩者，這是 agentic 瀏覽器架構的共同弱點，並非個別產品問題
  • 攻擊面極廣：惡意指令可藏在普通網頁、電子郵件或 PDF 文件中，使用者本人甚至不需要做任何動作
  • 潛在危害範圍：包括隱私資料洩露、偽造郵件發送、未授權交易，以及對其他已登入服務的橫向操作
  • 修復難度高：由於這是架構層級的問題，廠商需在指令隔離、許可確認、沙箱設計等多個層面同步強化

編輯按

隨著 Claude Computer Use、GPT-4o 瀏覽器代理、Cursor 等工具獲得愈來愈強的系統操作權限，提示詞注入攻擊已成為 AI 安全最值得優先關注的議題之一。開發者在設計 agentic 工具時，應優先考慮嚴格的指令來源驗證、最小化代理權限原則，以及對敏感操作的明確使用者確認機制。

本文由 AI 整理，原文：TechNews 科技新報