上交大研究:Agent 资源劫持攻击对顶级模型成功率高达 89.6%,现有护栏全线失守

机器之心 · wechat · 2026-10-22

上海交通大学人工智能学院任麒冰课题组提出新攻击面「智能体资源劫持」(Agent Resource Hijacking):攻击者不窃取密钥,而是诱导 AI Agent 代替自己消耗企业算力与付费 API,把 Agent 变成「特洛伊木马」。

核心发现

• 团队构建 ResourceHijackBench:300 个父级攻击场景、900 个攻击 Prompt,部署在隔离沙箱中,采用行为级判定(真正触发资源变更才算成功)。
• 跨模型实测:GPT-5.5 被劫持成功率 89.6%,DeepSeek-V4-Pro 84.1%,Qwen3.8-Max 82.8%,最低的 Gemini-3.5-Flash 也有 70.0%。能力越强的模型越「得力」。
• 同一任务下,直接索要凭证成功率仅 3.4%–7.6%,拐弯诱导资源劫持则飙升 62.4–84.0 个百分点——现有对齐只防「泄密」不防「代为执行」。
• OpenClaw 与 Codex 框架上分别录得 84.1% 和 72.3% 的攻击成功率,与框架无关。
• 现实案例:Agent 一边强调「不会泄露 APIKey」,一边替攻击者跑完了付费模型评测;或在企业飞书群里直接用公司 GPU 完成微调并交付权重。

防御方案 ResGate

• 两阶段解耦:轻量小模型仅做语义抽取(禁止作安全裁决),再由确定性代码对照只读 YAML 白名单鉴权,默认阻断、注入不可伪造的请求者身份。
• 效果:攻击成功率从 84.1% 压至 23.6%(算力类降至 12.7%),正常任务成功率仍达 89.3%,仅损耗 1.1%。

文章结论:Agent 安全需从「内容安全」转向「资产治理」,大模型只负责理解意图,授权大权必须交给确定性、可审计的代码。

原文链接 →

「编程与Agent」频道最新

• 50+ 免费 AI Agent 学习资源合集：视频与仓库一站打包 — ifioknkem · 2026-10-23
• 自封「全网最佳」的免费 AI Agent 资源库引围观 — ifioknkem · 2026-10-23
• Vercel 推出免注册部署：拖拽文件到首页即得线上 URL — steren · 2026-10-23
• 5 个 Claude Code 会话经 MCP 互发邮件，组队攻破多品牌网络摄像头 — doodlestein · 2026-10-23
• Vercel 上线 vercel deploy --temporary,可临时部署后自动清理 — cramforce · 2026-10-23
• 用同一个 Notion 工作区让多个 Agent 互相沟通分工，实测有效 — nbaschez · 2026-10-23

更多「编程与Agent」频道 AI 资讯 →