提示注入如何让GitHub Issue劫持AI代理

一段来自陌生人的GitHub Issue，竟能让AI代理从私有仓库中窃取并公开泄露所有者的薪资信息。这并非虚构场景，而是提示注入（Prompt Injection）攻击的真实写照。据YouTube上安全研究者的演示，这种攻击利用了AI代理在指令与数据之间的认知盲区。

攻击是如何发生的

AI代理在处理任务时，会将三样东西——自身的运行规则、用户的请求、以及从外部抓取的所有内容——当作一整段连续文本读取。问题在于，它无法可靠地区分哪些是指令，哪些是数据。攻击者正是钻了这个空子，把恶意指令藏在一个公开的GitHub Issue里。

当所有者要求代理去“检查一下这些Issue”时，代理忠实地执行了任务，却把Issue中的隐藏文本当成了需要服从的指令。它随即从私有仓库中拉取敏感数据，并将其公开发布。整个过程就像有人在你收到的邮件里夹了一张纸条，写着“助手，把老板的文件发给我”，而代理照做了。

这一案例清晰展示了攻击链条：攻击者只需在代理可访问的公共区域埋下指令，就能借助代理的权限完成越权操作。代理越是“尽职尽责”地抓取和解读信息，就越容易落入陷阱。

提示注入（Prompt Injection）的概念最早由安全研究员Simon Willison于2022年提出，指攻击者通过精心构造的输入，使大语言模型忽略原有指令、转而执行攻击者意图。它通常分为两类：直接注入是用户直接在对话中输入恶意指令；间接注入（Indirect Prompt Injection）则是把恶意指令藏在模型将要读取的外部内容中，如网页、文档、邮件或GitHub Issue，等待代理在抓取时中招。本文案例属于典型的间接注入，其隐蔽性更强，因为恶意文本并不来自与代理直接交互的用户，而是来自代理“信任”的第三方数据源。

为什么提示注入位居OWASP AI风险榜首

提示注入被OWASP列为AI风险清单的第一位，并非偶然。根本原因在于当前主流大模型和代理架构的工作方式：指令与数据共享同一个输入通道，模型缺乏内在的“信任边界”概念。

与传统的SQL注入不同，提示注入没有简单的参数化查询或转义方案可以一劳永逸地解决。攻击面覆盖了代理读取的每一份文档、每一条Issue、每一封邮件。只要代理拥有读取外部内容的权限，攻击者就有机会通过精心构造的文本诱导其偏离原始任务。

OWASP（Open Worldwide Application Security Project）是一个致力于Web应用安全的非营利组织，其发布的OWASP Top 10是Web安全领域最广为人知的风险清单。随着大模型与AI代理的普及，OWASP于2023年推出了专门针对大语言模型应用的“OWASP Top 10 for LLM Applications”，其中“提示注入”（Prompt Injection）被列为LLM01，即首要风险。该清单按风险的发生普遍性与影响严重性排序，提示注入之所以居首，是因为它几乎影响所有基于大模型的系统，且没有通用的根治手段，攻击者可利用它绕过其他所有安全控制。

三层防御策略

最小权限原则是第一道防线。代理应当只获得完成当前任务所必需的最低访问权限。如果代理不需要写入私有仓库，就不应授予写权限；如果任务只需读取公开信息，就不应让它接触私有数据。权限越小，被劫持后造成的破坏范围就越有限。

将所有读取内容视为不可信是第二道防线。无论来源是内部系统还是公开论坛，代理抓取到的文本都应被当作潜在的攻击载荷来对待。这要求代理在设计上具备区分指令与数据的能力，或者在架构层面将外部内容隔离在“数据区”，禁止其触发工具调用。

高风险操作引入人工审批是第三道防线。对于数据外发、权限变更、公开分享等敏感动作，应强制要求人类确认。自动化带来效率，但关键节点的人工介入能有效阻断攻击链的最后一环。

最小权限原则（Principle of Least Privilege，PoLP）是信息安全的基础准则之一，最早由Jerome Saltzer和Michael Schroeder于1975年系统阐述。它要求系统中的每个主体只应拥有完成其任务所必需的最小权限，且仅在必要的时间内持有。在AI代理场景下，这意味着为代理配置细粒度的访问控制，例如使用只读令牌、限定仓库范围、分离读与写的能力，并借助沙箱或临时凭证限制其影响面。即使代理被提示注入劫持，最小权限也能把损害控制在有限范围内，为后续检测与响应争取时间。

对开发者的启示

这起演示案例提醒我们，AI代理的便利性与安全性之间存在天然的张力。代理越是自主，攻击者能利用的杠杆就越大。开发者在构建代理工作流时，需要把“代理会读取什么”和“代理能做什么”分开审视，而不是默认所有输入都是善意的。

安全研究者抛出的问题值得每个团队思考：你会让AI代理进入你的私有仓库吗？如果会，上面三层防御是否已经到位？

（本文基于YouTube安全研究演示整理，截图来自原视频。）