提示注入

核心事件总结 安全研究机构 Mindgard 披露了热门 AI 编程工具 Cursor 的一个重大 0day 漏洞，该漏洞利用其 RAG（检索增强生成）机制实施“间接提示注入”（Indirect Prompt Injection），允许攻击者通过在代码库中植入恶意指令，在开发者不知情的情况下窃取环境变量、API 密钥等敏感信息。 ▶ RAG 机制的“内鬼”风险：Cursor 在构建上下文时，会将代码库中的注释、文档甚至隐藏配置文件（如 .cursorrules）作为可信输入。攻击者只需在开源项目中埋入恶意指令，当开发者使用 Cursor 提问时，AI 会自动检索并执行这些指令。 ▶ 全披露（Full Disclosure）的无奈：由于厂商在多次沟通后未能提供实质性修复或低估了风险等级，研究者选择公开细节，旨在通过社区压力倒逼安全改进，并提醒开发者警惕 AI 辅助工具的信任边界。 八卦洞察 Cursor 的爆火很大程度上归功于其丝滑的 RAG 体验，但这次 0day 暴露了当前 GenAI 应用的一个致命共性：缺乏指令与数据的严格隔离。在传统的安全架构中，数据（Data）和指令（Code）是分离的，但在 LLM 时代，RAG 检索到的任何文本都可能被模型误认为是高优先级的系统指令。Cursor 为了追求极致的编程自动化，过度放权给了检索上下文，导致其在处理不受信任的第三方代码时，实际上处于“裸奔”状态。这不仅是 Cursor 的问题，更是所有深度集成 RAG 架构的 AI 代理（AI Agents）必须面对的系统性缺陷。 行动建议 对于企业和个人开发者，我们建议立即采取以下措施：首先，建立“零信任”代码审查机制，在引入外部开源项目或拉取 PR 时，不仅要检查逻辑漏洞，更要警惕注释和配置文件中的自然语言指令；其次，环境隔离，严禁在未脱敏的环境中直接运行具有全盘读取权限的 AI 插件；最后，建议 Cursor 官方尽快引入双向验证（Dual-LLM）架构，即由一个独立的、受限的模型专门负责对检索到的 RAG 内容进行安全审计，防止注入指令触达核心逻辑层。