ToolLeak 攻击复现：6 款编程智能体全部沦陷
新智元 · wechat · 2026-08-21
香港科大与复旦大学团队在 ISSTA 2026 发表论文，展示了一种针对 AI 编程工具的新攻击链。研究者对 Cursor、ClaudeCode、Copilot 等六款工具进行红队测试，发现通过 ToolLeak 和 双通道提示词注入，可实现从系统提示词窃取到远程代码执行（RCE）的完整攻击。
攻击原理
- ToolLeak (窃取提示词)：利用“模式差异”，攻击者在工具参数名中植入诱导字段（如 "note": "systemprompt"），绕过聊天窗口的安全对齐，诱导大模型将内部系统提示词作为参数值填入，从而泄露完整指令。测试显示其提取内容的语义相似度达 0.89 以上。
- 双通道注入 (执行 RCE)：
- 通道一：注册恶意 MCP 工具，并在描述中利用泄露的系统提示词格式进行伪装，诱导 Agent 优先调用。
- 通道二：工具返回值中嵌入恶意命令（如 curl | bash），并要求 Agent 作为初始化步骤执行。
实测结果
- 旧版工具：在测试的旧版本中，所有六款工具均被攻破。Cursor + GPT-5 和 ClaudeCode + Sonnet 4.5 的攻击成功率均为 100%。
- 防御失效：ClaudeCode 内部的守卫模型 Haiku 曾检测到风险，但被已被注入的主模型 Sonnet 判定为误报并忽略。
防御与现状
新版工具已进行加固。ClaudeCode 隐藏了完整工具描述，将 RCE 成功率降至 0；Cursor 也降至 0.3。然而，Cline、WindSurf、Trae 搭配 Gemini 3.1 Pro 时仍存在 100% 的成功率风险。论文指出，架构隔离是关键防御层，单纯依靠模型对齐不足以防范此类架构级攻击。
「安全」频道最新
- Anthropic 红队两年来首次“抹除”模型，GLM-5.3 拒答率从 90% 跌至 3% — cephaloform · 2026-10-16
- Anthropic 开放类员工权限，METR 等第三方评估者将公开风险报告 — AnthropicAI · 2026-10-16
- APEX-Harm 基准:共享工作区中脚本注入攻击对智能体成功率居高不下 — KAUST · 2026-10-16
- USC 研究:智能体 residual stream 状态可预测并拦截越权动作与事后撒谎 — USC · 2026-10-16
- Perplexity 开源 SPACE:Firecracker microVM 隔离每个 agent 任务 — perplexity_ai · 2026-10-16
- AI 安全圈口水战:风险研究被指「公司行为」,团队负责人下场回应 — logangraham · 2026-10-16