報導摘要

隨著人工智慧（AI）代理在網路世界中扮演越來越重要的角色，它們不僅能自動執行任務、蒐集資訊，也成為了網路犯罪分子鎖定的新目標。一項由JFrog AI架構師Shaked Zychlinski揭露的最新研究，揭示了一種名為「並行中毒網路」（parallel-poisoned web）的新型提示注入攻擊。這種攻擊手法極其隱密且危險，它專門針對AI代理，利用其獨特的「瀏覽器指紋」來辨識身分，並提供一個專屬的惡意網頁版本，而這個版本對人類使用者和傳統安全爬蟲是完全不可見的。這意味著，駭客可以悄無聲息地劫持AI代理的行為，使其在用戶不知情的情況下執行惡意操作。

這場新威脅的出現，為AI安全領域敲響了警鐘，迫使我們重新思考AI代理在開放網路環境中的安全性。它不再是簡單的提示詞漏洞，而是一種利用AI代理核心運作模式的深層次攻擊，將AI代理從一個高效的工具，變成了攻擊者手中的武器，對企業和個人都構成了前所未有的資安風險。

攻擊手法的深度解析

「並行中毒網路」攻擊的核心在於其高度的隱蔽性與精準性。傳統的「提示注入」（prompt injection）攻擊，通常是將惡意指令隱藏在網站的文字或程式碼中，寄望AI代理在處理這些內容時，會無意間執行這些指令。然而，由於這些內容對人類和安全工具是可見的，因此容易被發現。

JFrog AI 架構師 Shaked Zychlinski 發現，AI 代理可能會被隱藏在一般使用者視線之外的網站誘騙，並秘密執行惡意操作。這種新穎的「並行中毒網路」攻擊更進一步，只向人工智慧代理提供完全不同的頁面版本，由於惡意內容從未向人類使用者或標準安全爬蟲展示，因此攻擊極為隱密。它利用代理的核心功能—提取並處理網路數據—將其變成針對用戶的武器，從而允許他們劫持代理行為以實現自己的惡意目標。

這種攻擊的實現，仰賴於AI代理在瀏覽網站時所留下的獨特「瀏覽器指紋」。AI代理使用的自動化框架（如Selenium或Puppeteer）、其行為模式（如快速且無間斷的點擊與瀏覽）、以及特定的網路特徵，都使其與人類用戶的行為有顯著差異。攻擊者可以利用伺服器端的技術，輕易地辨識出正在瀏覽的訪客是AI代理，然後精準地向其提供一個「偽裝」過的惡意網頁。

這個惡意網頁的版本可能看似與原始頁面相同，但其中卻暗藏了對AI代理特製的對抗性提示（adversarial prompts）。這些提示可以指示AI代理執行多種惡意行為，例如：

• 竊取敏感資訊： 惡意程式碼可以欺騙代理，讓它以為需要為了「驗證」目的而提供秘密金鑰、API憑證或環境變數等敏感資訊。

• 傳播惡意軟體： 代理可能會被誘導從惡意連結下載並執行軟體，導致惡意軟體被植入到用戶的電腦中。

• 劫持代理行為： 攻擊者可以完全控制代理，使其在社交媒體上發布惡意連結、在電子郵件中發送垃圾郵件，或在其他平台上執行未經授權的操作。

AI代理與其核心弱點

AI代理的設計初衷是為了最大化效率，讓它們能快速地爬取和理解大量的網路資訊。然而，這也成為了它們最致命的弱點。它們會毫無質疑地執行被給予的指令，特別是那些被惡意注入的提示。這與人類的瀏覽行為截然不同，人類會對可疑的內容保持警覺，但AI代理則缺乏這種直覺與判斷力。

JFrog的研究成功在多個主流AI代理上證明了這種攻擊的可行性，包括Anthropic的Claude 4 Sonnet、OpenAI的GPT-5 Fast以及Google的Gemini 2.5 Pro。這不僅證明了攻擊並非理論上的可能，而是已經在現實中被驗證，且影響範圍涵蓋了當前最先進的AI模型。

對企業與個人的深遠影響

「並行中毒網路」攻擊的出現，對整個網路生態系帶來了新的挑戰與風險。

• 企業風險： 許多企業依賴AI代理進行市場分析、競爭對手監控或客戶服務。一旦這些代理被劫持，企業的敏感資料可能被竊取，甚至可能被用來對外發動攻擊，導致聲譽受損和法律責任。

• 資安防護盲點： 由於這種攻擊的惡意內容是隱形的，傳統的資安工具，如網站應用程式防火牆（WAF）和入侵偵測系統（IDS），很難偵測到。這使得資安團隊難以察覺代理是否已被入侵，導致攻擊在長時間內不被發現。

• 信任危機： 當用戶意識到他們所信賴的AI代理可能在不知不覺中被用來對抗他們時，將會對AI技術的安全性產生嚴重的信任危機，這將阻礙AI在更多領域的應用與普及。

防禦與未來展望

面對這場新型態的威脅，我們需要從多個層面來構建防禦。

1. AI模型開發者： 開發者必須在AI代理的架構中加入更強大的安全機制。這包括：

   • 上下文隔離： 確保代理在處理來自不同來源的資訊時，能夠將其嚴格隔離，防止惡意提示跨越界限。

   • 外部行為審核： 限制代理在執行某些高風險操作（例如下載檔案、發送請求到特定伺服器）時，必須經過額外的驗證或人類審核。

   • 建立「黑名單」機制： 針對已知的惡意網站或特定網路行為模式建立黑名單，阻止AI代理瀏覽或互動。

2. 企業與網站營運者： 企業應意識到其網站可能被用作AI代理的攻擊平台。建議採取以下措施：

   • 實施反AI代理策略： 利用更複雜的瀏覽器指紋分析，或在不影響人類用戶體驗的前提下，向AI代理提供有限的、不包含敏感資訊的網頁內容。

   • 定期資安審核： 對網站進行滲透測試和資安審核，特別是針對可能被惡意利用的API端點和資料庫連接。

3. 個人使用者： 對於個人用戶而言，最重要的是保持警覺。在使用AI代理時，應避免讓其處理過於敏感的任務，並仔細監控代理的行為。如果發現異常，應立即停止其運作並進行檢查。

總體而言，「並行中毒網路」攻擊是AI時代網路安全發展的又一個里程碑。它標誌著資安威脅已從單純的針對人類，進化到利用AI代理作為攻擊媒介。這場戰役不僅考驗著技術的進步，也考驗著我們對AI倫理與安全的深層次理解。唯有透過技術創新、跨領域合作和持續的警覺性，我們才能在AI代理的廣闊世界中，確保網路空間的穩固與安全。

資料來源：https://www.helpnetsecurity.com/2025/09/05/ai-agents-prompt-injection-poisoned-web/