安全

安全公司 Zenity Labs 披露了针对 Amazon Bedrock AgentCore 的漏洞利用链,命名 AgentCorruption。攻击前提低得吓人:只要对某个公开可访问的智能体有聊天权限,一条提示词就能接管同一 AWS 账户和区域内的所有 AgentCore 智能体。 三步攻击链 第一步,经 IMDS 窃凭证。 AWS 实例在内部地址 169.254.169.254 跑实例元数据服务,提供临时凭证,拿到即可冒充该实例。AgentCore 缺少应有的隔离——研究员用 AWS 开源框架 Strands 建了个测试智能体,用平实语言让它「查询元数据服务、把结果发到外部服务器」,它照做。原文最狠的一句:「我们本应对抗的沙箱边界根本不存在。」移除网络工具防不住,缺陷在平台本身。元数据服务还暴露了内部服务密钥和一个不属于该账户的内部 S3 预签名 URL。 第二步,横向接管。 根因是 AgentCore 默认执行角色的权限不限定在单个智能体,而是覆盖同账户同区域的所有智能体(读、写、删)。攻击者可以列出每个智能体、数秒内下载其代码包(常含被遗忘的密码、API 密钥)、调用任意智能体、读取全部用户与智能体的私密对话——从公开客服智能体一路跳到内部财务智能体。 第三步,记忆投毒。 对开了长期记忆的智能体,篡改记忆植入指令,让它把未来对话转发到外部目的地,用户毫无察觉。更糟的是,默认角色允许智能体访问 Secrets Manager 里的凭证(包括非 AWS 服务的密钥),AWS「密钥与智能体分开存放」的建议被自己削弱了。 时间线与响应 2025 年 12 月 25 日:Zenity 向 AWS 报告 之后:AWS 把 IMDSv2 设为新部署的默认(堵住第一步入口) 约 2026 年 8 月:默认角色收窄——不再允许跨智能体调用、读私密对话、取 Secrets Manager 凭证 对比是刺眼的:类似问题 OpenAI 四天修复,而 AgentCore 的过宽默认权限在报告后持续了数月。研究员仍建议企业自建权限更窄的自定义角色。 怎么读 Zenity CTO Michael Bargury 点出的是结构矛盾:「云安全关乎分段和最小权限,但 AI 智能体需要创作自由才能发挥作用。」公开智能体和内部智能体共享环境时,单点漏洞就是整个安全边界。同模式研究正在扎堆出现:AgentFlayer、AgentForger、DeepMind 把「长期记忆操纵」列为独立攻击类别。当然,Zenity 自己卖智能体安全平台,报告此类漏洞有商业动机,读时留一分清醒。 ...

网络安全是监控 AI Agent 最难的场景:良性审计漏洞和恶意利用漏洞的任务高度重叠,还得在数百万 token 的轨迹里追踪意图。Goodfire Research 发了篇硬核工程文章:为 Kimi K3 和 GLM 5.3 训练并部署到生产的网络安全监控器,核心是「探针 + LLM judge」的级联。 结构:便宜的先看,贵的复核 探针读取模型内部激活,做第一道过滤器;只有可疑交互才送进 LLM judge。结果: 工作点召回率 93%、假阳性率 5.5%,Pareto 意义上优于单独的 judge 成本每百万次交互不到 200 美元(judge with reasoning 要 5420 美元,级联 185 美元,关掉 reasoning 只要 65 美元——约 50 倍差距) 延迟:judge with reasoning 每轮 2750ms,级联 42ms;judge 160ms,无 reasoning 级联 2ms 推理侧扩展了 SGLang,在服务引擎内直接算探针分数,四种工作负载吞吐变化都在 ±1.5% 以内 加监控后的有害阻止率:Kimi K3 从 29% 提到 96%,GLM 5.3 从 36% 提到 91%。FAR.AI 两天红队测试(140 个对无监控模型有效的越狱策略 × 8 目标):通用越狱成功率从 53%/39%/47%/12% 全部压到 0%。 ...

OpenAI 又拆了两个隐蔽影响行动(IO):俄罗斯源的 Dark Clark 和伊朗源的 Bogus Bylines。分级沿用布鲁金斯学会的 Breakout Scale(1 最低 6 最高)——前者拿到 Category 5,是 OpenAI 开始发报告以来的第一个;后者文章植入部分 Category 4。 Dark Clark:首个五类怎么来的 目标是在拉美破坏乌克兰声誉、干预当地政治(重点是阿根廷和玻利维亚)。操作者多数用俄语提示(俄罗斯被禁访问模型,靠 VPN 连),ChatGPT 主要用来写内部报告,少数用于生成内容、翻译校对。 它的前台是一家自称研究拉美印度侨民的「智库」SRC,由假人设 Mia Clark 控制——行动代号由此而来。不寻常之处:成功拉拢了不知情的拉美当地人真实入职,内容以原创为主(网站 60 多篇文章),是两年半来最复杂的前台身份。 渗透实例:2024 年给米莱总统编了「给狗买卡地亚镶宝项圈」的假消息;2026 年 5 月伪造秘鲁利马教育部门邮箱,让学校在「文化和语言多样性日」办纪念乌克兰的活动并点名班德拉,部分学校照办并发了照片;6 月又骗厄瓜多尔学校搞效忠总统和黑水前负责人普林斯的宣誓仪式,引发众怒。一条秘鲁假消息甚至加剧了乌克兰与波兰的公开紧张。 Bogus Bylines:近百篇假署名文章 伊朗源,七个自称西方记者的假署名(Ervin B. Hoskins、Michael Harrison 等),把近 100 篇文章植入十几家聚焦国际事务的中小媒体,最早 2025 年 7 月,美伊冲突后频率大增。另有大评论批量生成:输入帖子、模型产出一组回复,数分钟内密集发出,二十多批次集中攻击 Iran International。其中一个假署名的账号透明度设置暴露了位置:伊朗。 怎么读 OpenAI 的结论克制:两类行动与 AI 时代前的高度相似,AI 的贡献是规模、效率和语言流畅度;而「假前台」被曝光后特别脆弱——历史上 Alice Donovan 和 PeaceData 曝光即停摆,Dark Clark 内部报告的影响力声称也普遍注水(常把无关事件归功于己)。过去两年半 OpenAI 共揭露 30 起此类行动。 来源:AIHOT 转载,OpenAI 原文