提示注入

知名安全研究员 Johann Rehberger 近日成功绕过了 Anthropic 旗下 Claude Code 的“自动模式”（Auto Mode）防御机制。尽管 Anthropic 此前宣称该模式能有效抵御提示注入攻击并将其设为默认配置，但 Rehberger 通过间接提示注入手段，诱导 AI 代理执行了未经授权的指令，直接挑战了自主编程代理的安全性底线。 ▶ 提示注入仍是 AI 代理的“阿喀琉斯之踵”： 即使是像 Anthropic 这样处于第一梯队的厂商，其内置的安全防护在面对精心设计的对抗性数据（如恶意 README 文件）时依然显得力不从心。 ▶ “软约束”无法替代“硬隔离”： 该漏洞的根源在于 Anthropic 试图通过模型层面的指令遵循来构建安全边界，而非在系统架构层面实施物理沙盒或权限控制。 八卦洞察 这次攻击的成功，标志着 AI 行业在“自主代理”安全叙事上的重大挫败。Anthropic 的逻辑是利用 Claude 的推理能力来甄别恶意指令，但这本质上是在解决一个尚未攻克的科学难题：指令与数据的混淆。只要 LLM 无法在底层逻辑上彻底隔离系统指令与外部输入，所谓的“自动模式”就只是一层薄弱的窗户纸。在硅谷竞相追求“全自动 AI 工程师”的狂热中，这一事件给所有开发者敲响了警钟：模型能力的提升并不等同于安全性的同步演进。 行动建议 坚持“人在回路”（HITL）： 开发者在使用 Claude Code 或类似工具时，应关闭高风险操作的自动执行，尤其是涉及文件删除、凭证访问及远程推送的代码变更。 实施零信任架构： 企业在部署编程代理时，必须将其运行环境限制在临时、隔离的容器（如 Docker）中，并严格限制其网络访问权限，防止敏感数据外泄。 输入脱敏与审计： 将项目中的第三方文件（如 Markdown、配置文件）视为潜在的攻击载体，建立自动化的提示注入扫描机制。

核心事件总结 安全研究机构 Mindgard 披露了热门 AI 编程工具 Cursor 的一个重大 0day 漏洞，该漏洞利用其 RAG（检索增强生成）机制实施“间接提示注入”（Indirect Prompt Injection），允许攻击者通过在代码库中植入恶意指令，在开发者不知情的情况下窃取环境变量、API 密钥等敏感信息。 ▶ RAG 机制的“内鬼”风险：Cursor 在构建上下文时，会将代码库中的注释、文档甚至隐藏配置文件（如 .cursorrules）作为可信输入。攻击者只需在开源项目中埋入恶意指令，当开发者使用 Cursor 提问时，AI 会自动检索并执行这些指令。 ▶ 全披露（Full Disclosure）的无奈：由于厂商在多次沟通后未能提供实质性修复或低估了风险等级，研究者选择公开细节，旨在通过社区压力倒逼安全改进，并提醒开发者警惕 AI 辅助工具的信任边界。 八卦洞察 Cursor 的爆火很大程度上归功于其丝滑的 RAG 体验，但这次 0day 暴露了当前 GenAI 应用的一个致命共性：缺乏指令与数据的严格隔离。在传统的安全架构中，数据（Data）和指令（Code）是分离的，但在 LLM 时代，RAG 检索到的任何文本都可能被模型误认为是高优先级的系统指令。Cursor 为了追求极致的编程自动化，过度放权给了检索上下文，导致其在处理不受信任的第三方代码时，实际上处于“裸奔”状态。这不仅是 Cursor 的问题，更是所有深度集成 RAG 架构的 AI 代理（AI Agents）必须面对的系统性缺陷。 行动建议 对于企业和个人开发者，我们建议立即采取以下措施：首先，建立“零信任”代码审查机制，在引入外部开源项目或拉取 PR 时，不仅要检查逻辑漏洞，更要警惕注释和配置文件中的自然语言指令；其次，环境隔离，严禁在未脱敏的环境中直接运行具有全盘读取权限的 AI 插件；最后，建议 Cursor 官方尽快引入双向验证（Dual-LLM）架构，即由一个独立的、受限的模型专门负责对检索到的 RAG 内容进行安全审计，防止注入指令触达核心逻辑层。