356 次注入试验:工作区里有联系方式,攻击成功率大不一样
DiscussionHealthy802 · reddit · 2026-09-14
Reddit 用户 DiscussionHealthy802 公开了一组 356 次 prompt injection 试验的基准,横跨六个模型、三种 agent harness,注入指令藏在文件或 issue 结果中而非用户请求里。重点测两个指标:agent 是否发送植入的凭据、是否访问云实例元数据端点。
关键发现:
- 风险高度集中:同一 Mastra 环境下,Kimi k2.7-code 在 26 次有效运行中 24 次泄露凭据,而 Kimi k3 在 30 次中仅 1 次;Claude Code 环境中 Haiku 18/30 泄露,Sonnet 0/30。Codex 组因 prompt 和工具路由不同单独报告。
- 意外机制发现:首个筛查工作区没有任何联系方式,部分 agent 接受了注入指令却找不到发送对象,攻击无法完成;一旦加入普通的仓库 contact 文件,同类攻击即可走通。这说明泄露是否成立取决于环境信息,不只是模型态度。
- 评测方法学:作者还剔除了无有效 payload 或无 session 文件的运行——如果模型根本没收到可用 session,干净的零分不构成拒绝的证据。
作者公开基准征求批评:评测应记录什么,才能区分「真拒绝」和「攻击因信息不足而中止」?
「安全」频道最新
- OpenAI 更新 Model Spec，围绕五项核心价值引导更强模型 — rhiever · 2026-10-30
- ARIA 领导层变动，Safeguarded AI 项目据称进展良好 — davidad · 2026-10-30
- 费城拟对无人配送车与机器人征税，弥补工资税流失 — QuintinPope5 · 2026-10-30
- 725万个 Gitee 仓库中,平均 275 个就泄露一把可用 API 密钥 — vista8 · 2026-10-30
- Basilisk 与 pixi-audit 发布:为 conda-forge 生态补上漏洞审计 — wolfvollprecht · 2026-10-30
- 假冒 ChatGPT/Claude 桌面版借 GitHub 与 SEO 投毒传播挖矿木马 — ChuckDBrooks · 2026-10-30