GhostJacking 暴露 AI Agent 身份治理缺口
Google News 关注了 GhostJacking：研究人员展示了，一份被投毒的错误报告如何将已获授权的 AI Agent 引向攻击者控制的代码。即使存在边界防御措施，这种攻击仍能得逞，因为 Agent 通过合法工具和开发者权限完成每一步操作。
这一差异改变了安全讨论的方向。Agent 的凭据未必遭到窃取，其软件也未必被攻破。相反，不受信任的运营数据改变了 Agent 的意图，而其已认证身份仍然有效。
相关研究将这类更广泛的技术称为“Agentjacking”，而 GhostJacking 这一名称则强调了接管过程近乎无形的特征。Agent 继续以其正常身份运行，防御人员因而必须区分合法自动化与恶意意图。
这并不只是又一个提示注入案例。它揭示了语言模型、可信遥测数据、Model Context Protocol 集成，以及为可预测用户设计的身份系统之间的冲突。
核心矛盾十分明确。企业希望 Agent 无需持续监督即可调查事件并执行修复。然而，使这些 Agent 有用的权限，也会让被操纵的决策在运营层面变得危险。
GhostJacking 报告如何将缺陷队列变成攻击路径
GhostJacking 将 Agent 本应信任的信息转化为它可能会执行的指令。
GhostJacking 报告中描述的攻击始于一条伪造的软件错误。攻击者将精心构造的文本植入遥测数据，编码 Agent 之后在调查未解决问题时会检索这些数据。
遥测数据是指软件生成的日志、错误、追踪信息和诊断记录。开发团队通常将这些材料视为反映系统行为的证据，而不是活跃的命令通道。
当语言模型读取这些材料时，这一假设便会失效。模型会在同一文本流中接收诊断事实、注释、格式化内容以及潜在指令。
Tenet Security 的 Threat Labs 使用错误监控平台 Sentry 演示了这一模式，该平台可接收应用事件。Sentry 使用 Data Source Name，即 DSN，使应用能够将这些事件提交至正确的项目。
浏览器应用通常需要在客户端代码中包含该 DSN。因此，持有它的人可能无需先攻破组织的内部网络，就能提交事件。
攻击者提交的事件包含令人信服的错误描述和看似合理的修复指引。当 Agent 通过集成检索该事件时，恶意指令会与合法诊断数据一同到达。
模型随后面临分类难题：它必须判断这些文本是在描述错误、引用外部内容，还是在指示 Agent 执行纠正操作。
根据受控研究，接受测试的 Agent 有时会将植入内容解读为有效的解决步骤。随后，它们以开发者的本地权限执行了研究人员控制的软件包。
Tenet 表示，其验证软件包旨在用于受控测试，而非恶意活动。该公司还称，收集的信息已被脱敏，并按照其披露流程处理。
不过，安全影响远不止于这一无害软件包。在开发者账户权限下运行的恶意命令，可能访问环境变量、源代码仓库、云凭据或已认证的开发工具。
Tenet 报告称，已发现 2,388 家组织使用了可能可被注入的 Sentry 凭据。该公司还称，在受控测试期间观察到逾 100 个 Agent 对注入错误采取了行动。
这些数据来自该安全供应商，尚未在所报告的全部群体中得到独立复现。它们应被视为该研究观察到的暴露程度，而非犯罪分子已确认实施的入侵规模。
重要变化在于架构层面。日志曾是供人类和确定性软件使用的被动证据。Agentic 工作流能够将相同日志转化为可执行上下文。
这会形成一种不同寻常的反馈循环。安全控制拦截可疑流量，记录被阻止的请求，并将攻击者文本存储在可信监控平台中。
之后，AI Agent 会读取存储的记录以诊断事件。原本成功的拦截，反而成为下一阶段的投递路径。
Google News 的关注为何超越了一次安全演示
Google News 的曝光之所以重要，是因为 GhostJacking 将抽象的 AI 风险与普通开发工作流联系了起来。
间接提示注入已被记录多年。当 AI 系统在完成其他任务时处理的数据中嵌入了恶意指令，就会发生这种攻击。
攻击者无需将指令放入用户的直接提示中。有效载荷可以出现在网页、电子邮件、文档、支持工单、代码注释或检索到的数据库记录中。
GhostJacking 将这一已知弱点应用于运营证据。目标不再是回答无害问题的聊天机器人，而是被要求诊断软件并可能执行修复命令的 Agent。
这一差异提高了风险级别。聊天机器人可能生成误导性答案，而具备权限的编码 Agent 则能够修改文件、调用 shell 或访问已认证服务。
该事件也发生在工具连接型 Agent 快速普及之际。通常称为 MCP 的 Model Context Protocol，为模型与外部工具和数据源通信提供了标准方式。
MCP 可以减少将 Agent 连接至问题跟踪系统、数据库、代码仓库、监控平台和本地开发工具所需的工作量。但它不会自动让来自这些系统的内容变得可信。
工具本身可以是真实的，同时返回由攻击者控制的数据。这一区别正是 GhostJacking 攻击的核心。
传统应用安全通常会问：调用者是否有权访问某项资源？在这里，已认证的 Agent 被允许访问资源并执行由此产生的操作。
缺失的问题是：该操作是否反映了用户意图。认证回答的是谁在行动，却无法证明为何选择该行动。
NIST 将 Agent 劫持描述为间接提示注入的一种形式，其原因是受信任指令与不受信任外部数据之间的隔离不足。在其劫持评估中，涵盖了远程代码执行、数据外泄和自动化网络钓鱼等场景。
NIST 研究人员发现，自适应攻击具有极大影响。在一项评估中，最强的基线攻击针对更新后模型的成功率为 11%。
在同一报告测试环境中，新开发的攻击达到了 81%。这一结果并不代表通用的模型失效率，但它挑战了关于提示注入防护能力的静态说法。
模型可能在已知测试套件上表现良好，却仍会在针对其行为量身定制的攻击面前失效。因此，安全团队不能将一次基准测试视为持久保证。
Google News 的报道有助于将这一发现带出专业 AI 安全圈层。受影响的工作流很像开发团队已希望 Agent 执行的工作：检查问题、识别原因并应用修复。
因此，这篇文章并非是在警告一个假设中的超级智能。它关注的是一种熟悉的自动化工具，使用熟悉的凭据，对熟悉的云服务进行操作。
正是这种熟悉感使风险容易被低估。单独审视时，每个组成部分都可能显得合法。
Sentry 服务是合法的。MCP 集成是合法的。编码 Agent 是合法的，开发者账户也已通过认证。
恶意因素存在于数据与意图之间的转换过程。当前身份控制很少检查这一过程。
AI Agent 身份治理止步于认证
当 AI Agent 身份治理能够验证行动者、却无法验证每项决策背后的授权时，它便会失效。
人类身份系统通常从个人、账户和分配的权限开始。管理员可以审查账户归属，以及该账户能够访问哪些资源。
服务账户将这一模型扩展至应用程序。当软件遵循确定性代码并执行狭窄、已记录的功能时，这种方式运行得相当合理。
AI Agent 的行为则不同。它的下一步操作取决于自然语言目标、检索到的上下文、模型推理、可用工具，以及工作流中的先前步骤。
同一个已认证 Agent 可以审查错误、编辑代码仓库、调用部署服务并向团队发送消息。随着任务推进，其实际角色也会发生变化。
组织往往通过让 Agent 继承用户现有访问权限来管理这种复杂性。这种方式简化了部署，但削弱了可归因性。
审计记录可能显示某个开发者账户启动了软件包，却未必显示开发者是否请求了该确切软件包，或是否先审查了相关命令。
它也可能遗漏究竟是哪一份检索文档影响了模型。没有这种来源追溯，调查人员只能看到最终操作，无法看到其背后的授权链。
Cloud Security Alliance 的Agent 安全调查说明了准备度缺口。40% 的受访组织表示已在生产环境中部署 Agent，另有 31% 正在测试。
仅 18% 的受访者表示高度确信现有身份系统能够有效管理 Agent 身份。只有 21% 维护了实时 Agent 注册表或资产清单。
调查还发现，静态 API 密钥、共享服务账户以及用户名-密码组合仍被广泛依赖。这些机制能够认证访问，但无法表达被委托的意图。
一个有用的 Agent 身份不应只回答“是哪个令牌发起了这个请求？”。它还应将请求与所有者、任务、获批准的工具、数据范围和到期时间关联起来。
这一记录应在委派过程中得以保留。如果主 Agent 创建子 Agent，子 Agent 不应悄然继承父 Agent 可用的全部权限。
每个被委派的身份都应只获得完成其分配步骤所需的权限。系统还应保留用户、父 Agent、子 Agent 与最终操作之间的关系。
GhostJacking 揭示了当这条链仍处于隐含状态时会发生什么。恶意错误无需窃取 Agent 身份，因为它能够操纵已存在的身份。
这类似于经典的混淆代理问题。可信程序接收了受攻击者影响、却无法正确分类的输入后，误用了自身权限。
语言模型让这一问题更加棘手，因为它们以概率方式解释内容。一条经过精心格式化的“解决方案”，可能看起来比模糊的用户指令更具可执行性。
提示层级有助于模型区分系统和用户指令的优先级，但它无法在事实性工具输出与嵌入其中的命令之间建立加密边界。
将某个来源标记为不可信也存在局限。Tenet 表示，即使配置已要求智能体不信任外部内容，智能体有时仍会遵循注入的指令。
这一说法仍需在不同模型和配置下开展更广泛的独立测试。不过，NIST 的自适应测试结果支持了一个更广泛的警告：仅靠指令的防御措施在针对性压力下会失效。
因此，身份层必须假设模型可能做出错误决策。治理机制应在该决策演变为不可逆操作之前限制其后果。
核心权衡：有用的访问权限与可验证的意图
智能体获得的访问权限越多，就越有用；但每增加一项权限，被操纵意图所造成的影响也会随之扩大。
仅能提供建议的编程助手仍可能生成不安全代码。拥有终端访问权限的编程智能体则可能在开发者阅读代码之前执行它。
仅能生成摘要的事件响应智能体可能扭曲调查。若同一智能体拥有生产环境访问权限，则可能在遵循被投毒的诊断记录时修改基础设施。
这带来的是实际的权衡，而不是拒绝一切智能体自动化的理由。组织需要将自主性与逐步增强的控制措施结合起来。
发现与诊断工作应默认保持只读访问。写入权限应仅针对特定任务、资源和时间窗口授予。
命令执行应设置独立边界。能够获取监控数据的智能体，不应自动获得不受限制地执行该数据所建议的任何操作的权限。
高风险操作还需要语义授权。这意味着要评估操作的目的和上下文，而不只是检查调用方是否持有有效令牌。
例如，策略可以允许智能体在隔离工作区内运行获批的测试命令。同一策略也可以拒绝软件包安装、凭据访问或出站连接。
这些决策应在模型之外作出。让同一个可能已被操纵的智能体判断其自身命令，并不能形成独立控制。
运行时强制执行提供了更强的隔离。网关可以检查每个请求的工具调用，将其与策略进行比对，并阻止超出获批任务范围的操作。
网关还提供了记录结构化证据的位置。这些证据可以包括请求身份、用户目标、检索来源、请求操作、策略决策和结果。
当潜在影响较高时，人工审批仍然有用。但通用确认框并不够。
审查者需要了解命令将执行什么操作、可访问哪些文件或系统，以及是哪些外部内容触发了它。否则，审批就会沦为又一次例行点击。
当授权失败时，沙箱机制可限制损失。编程智能体可在一次性环境中工作，无法访问生产凭据或不受限制的网络连接。
短期凭据也能降低长期暴露风险。智能体应仅为当前操作获取范围严格限定的令牌，并在任务结束时失去该权限。
Microsoft 的 AutoJack research 通过不同机制强化了同一设计教训。不可信网页内容可触达本地 MCP 控制路径，并能够在开发版本中启动进程。
Microsoft 报告称，受影响的攻击面在进入相关打包版本前已得到加固。更广泛的发现仍然重要，因为智能体消解了通常被视为可信的边界。
人类用户使用浏览器访问外部页面，通常不会变成本地自动化进程。由智能体控制的浏览器则可以同时承担这两种角色。
GhostJacking 攻击跨越了语义边界，而 AutoJack 则跨越了网页、localhost 和控制平面边界。两起事件都表明，智能体正在连接此前由安全控制相互隔离的安全域。
这种对比同时向身份供应商、模型提供商、智能体框架和企业安全团队施压。没有任何一方能够单独解决这一问题。
模型开发者可以提升对恶意指令的抵抗能力。框架开发者可以标记数据并约束工具。
身份提供商可以签发限定范围的工作负载凭据，并保留委派关系。企业仍必须定义责任归属、审批阈值和可接受的自主程度。
正确的设计应假设每一层都可能失效。具备抵抗力的模型仍应以最小权限运行，而范围明确的身份仍应接受运行时策略检查。
GhostJacking 证据尚未证明什么
该演示揭示了一类可信的攻击方式，但尚不足以证明犯罪分子已大规模利用，或所有智能体都会失效。
最大的报告数字来自同样销售智能体系统防护产品的 Tenet Security。这一商业立场并不会否定其发现，但也使独立复现尤为重要。
2,388 家组织这一数字描述的是发现的暴露条件。它并不意味着攻击者已成功攻陷每一家组织，也不意味着每家组织都在积极将 Sentry 数据连接到具备权限的智能体。
同样，观察到的超过 100 次智能体操作来自受控研究。该结果展示的是报告测试范围内的可行性和规模，而不是整个软件行业的已测量入侵率。
产品配置也各不相同。有些智能体在执行 shell 命令前需要审批，另一些则在容器或受限的云工作区中运行。
不同模型可能会以不同方式解读同一载荷。其行为也可能随着更新、新系统提示词或工具响应格式调整而变化。
攻击面取决于权限。在隔离仓库中拥有只读访问权限的智能体，风险低于持有云密钥并拥有不受限制终端访问权限的智能体。
这些差异使单一的头条式失败率具有误导性。安全团队需要基于其实际使用的模型、工具、凭据和审批规则进行测试。
“GhostJacking”这一名称也可能造成混淆。Tenet 发布的材料主要将这种投毒错误技术称为“Agentjacking”。
GhostJacking 最好被视为对隐形智能体接管的描述性标签，而不一定是一个独立的标准化漏洞类别。其核心机制仍然是间接提示注入，随后进行已获授权的工具使用。
也不存在通用的平台补丁。过滤已知载荷或许能阻止某个演示，但无法解决普遍存在的指令与数据混淆问题。
封锁 Markdown 标题、包管理器命令或特定短语，只会促使攻击者以不同格式表达同一意图。自适应评估反复表明，为何仅依赖特征签名的防御会迅速过时。
反过来说，断言该问题完全无法解决也会夸大现有证据。更好的模型训练、数据标记、工具隔离和策略强制执行都可以降低风险。
现实的目标不是在模型内部实现完美检测，而是防止一次错误解读演变为不受限制的执行。
组织应从清点开始。团队无法治理自己并不知道存在的智能体，包括本地开发者工具和实验性集成。
每个智能体都需要指定负责人和记录在案的用途。安全团队应记录其模型、工具、数据来源、凭据、执行环境和委派路径。
受外部影响的内容需要明确分类。日志、工单、代码仓库评论、电子邮件和网页都应作为不可信数据进入智能体。
工具权限应与内容分类保持独立。不可信来源不应仅因由可信连接器检索，就获得授权。
随后，团队应测试现实的攻击链。红队测试必须涵盖被投毒的遥测数据、被操纵的工单、恶意网页、遭入侵的工具描述和具有欺骗性的修复文本。
测试应衡量结果，而不仅是模型是否复述恶意短语。关键问题在于，智能体是否请求或完成了未经授权的操作。
Google News 读者接下来应关注什么
下一阶段将由运行时控制、身份标准以及真实部署的证据决定。
第一个信号是独立复现。研究人员应在当前版本的编程智能体、审批模式、沙箱和企业策略中测试投毒遥测攻击链。
若复现确认了较高的执行率，将强化实施强制运行时控制的理由。若在加固配置下的执行率较低，则可识别已经有效的控制措施。
第二个信号是产品层面将检索数据与可执行指令分离。工具协议需要提供结构化方式来描述来源、信任级别和允许用途。
模型应知道文本来自未经身份验证的事件字段。更重要的是，执行层应拒绝赋予该文本请求命令的权限。
应关注智能体平台是否为工具响应附加可验证的来源信息，并在多步推理过程中保留这些信息。没有强制执行的纯警告标签价值有限。
第三个信号是为委派而构建的身份基础设施。企业需要短期智能体凭据、任务绑定范围、实时清单以及可审计的父子关系。
当身份系统能够回答一个明确问题时，进展将变得可见：是哪位人类为哪个目标、在何种限制下授权了这个智能体？
这些信号的重要性超出编程领域。客户支持智能体会读取工单，财务智能体会处理文档，安全智能体会调查警报。
任何将不可信内容与特权工具结合的工作流，都包含相同的结构性风险。具体交付渠道会改变，但权限问题仍然存在。
Google News 的关注让 GhostJacking 有了一个容易记住的名称。更持久的教训没有那么戏剧化，却更具影响：仅靠身份验证无法建立可信意图。
安全团队现在应梳理每一个智能体在采取行动前读取受外部影响内容的位置。应从日志、工单、电子邮件、代码仓库和网页工具开始。
随后识别哪些操作能够修改数据、执行代码、暴露机密或联系外部系统。在这些输入与结果之间设置独立的策略检查。
不要等待大规模利用活动的证据。应将这起报告的攻击视为受控警告，并测试你的智能体是否能够复现它。
如果一个智能体无法说明是谁委派了它的权限、哪个来源影响了它的决策，以及为何允许一次工具调用，那么它尚未得到全面治理。
