Reddit 用户提醒：AI 工具的 GET 请求可携带 body,潜藏注入风险
bigorangemachine · reddit · 2026-10-29
一位本地模型实验者发现一个容易被忽视的攻击面：HTTP 标准其实允许 GET 请求像 POST 一样携带 body 载荷，而很多 AI agent 的 fetch 工具并未对此设防。
作者此前用本地 Qwen 模型跑编码任务并抓取详细工具调用记录到 MLFlow，观察到模型曾“自作主张”去读取一个 YouTube 视频的转录。结合最近看到的模型投毒内容，他意识到如果模型可被诱导构造带 body 的 GET 请求，配合被污染的模型或工具链，可能形成一个尚未被重视的注入/利用通道。
建议做 agent/工具开发的人检查自家工具调用日志里 fetch 类调用的 body 载荷。
「编程与Agent」频道最新
- GitHub Universe 后官方 Cookbook:上手 Copilot 新功能教程合集 — marlene_zw · 2026-10-29
- 四 人团队 Physera 招人:为多模态编码 Agent 造评测与训练基建 — himanshustwts · 2026-10-29
- 第三方应用复用 Claude 订阅撞上服务条款红线 — ZookeepergameOdd6078 · 2026-10-29
- Codex 子代理被指继承父上下文,Matt Pocock 修复 skills 仓库 — mattpocockuk · 2026-10-29
- 独立开发者自制 LLM 花费监控工具，异常用量自动告警 — WittyBoysenberry9860 · 2026-10-29
- Claude 自估 2028 年才能独立写 PR,开发者感叹模型进步快到模型自己都估不准 — felixrieseberg · 2026-10-29