当 AI 助手去读网页时,谁来决定它听谁的

最近翻 Palo Alto Networks 的 Unit 42 写的一篇报告,里面有一个细节让我停下来想了一会儿。

2025 年 12 月,他们第一次在野外抓到一类攻击的真实样本:一个卖「军用眼镜」的诈骗页面,把针对 AI 的隐藏指令藏进了网页正文里——目标不是骗人点链接,而是骗那个本来负责「审核广告」的 AI 助手,让它在看到这篇广告时直接判成「合规」。

Unit 42 把整件事写进了 2026 年 3 月 3 日发布的报告《Fooling AI Agents: Web-Based Indirect Prompt Injection Observed in the Wild》。报告点名的具体野外样本页面位于 reviewerpress 域名下的 /advertorial-maxvision-can/ 子路径(12 月 2025,AI 广告审核绕过)。

读到这儿,我意识到一件事。我以前一直把这一类攻击想象成「有人直接对 AI 说奇怪的话」——攻击者本人就是输入者。这种其实相对好防御,因为你能看到对方的输入,可以加过滤器、可以限长、可以限次数。

但 Unit 42 抓到的是另一类,叫间接注入(indirect injection)。差别就一句话:AI 自己去读了一段本来是写给人看的内容,里面恰好被塞了指令,AI 没意识到那段是「敌方」,照做。

为什么这一类更难?因为攻守位置反过来了:

• 攻击者不需要碰 AI。他只需要控制一段公开内容——一个网页、一段商品描述、一个 GitHub README、一封邮件、一条客服工单。
• AI 的工作本身要求它去读这些东西。摘要网页、翻译评论、审广告、抓 SEO 内容——这些就是它被雇来的原因。
• 模型从结构上分不清「这是给 AI 的指令」和「这是给人类看的文字」。Unit 42 在报告里直接点了:传统计算机会把代码(指令)和字符串(数据)物理隔开,LLM 的上下文里不同来源的内容全搅在一起。
• 一段恶意内容能顺着信任链传很远。一个 AI 读了不可信网页,把摘要写进内部文档,另一个 AI 再读那份文档,在错误前提下做了高权限动作(删文件、付款、改账户、发邮件)。Unit 42 在他们看到的野外样本里,把数据销毁、未授权交易、敏感信息泄露都列了进去。

普通用户为什么会关心这事?因为不需要是工程师也会踩到:

1. 让 AI 帮你扫一下收到的邮件,邮件正文里藏了指令,让 AI 把你的通讯录发出去——AI 不一定分得清。
2. 给 AI 装了一个「读网页总结」的工具,它顺手访问了一个被污染的页面,回来告诉你「按页面说的做」。
3. 在做 SEO、内容审核、客服分流——只要中间环节有 AI 在读不可信输入,这一类风险就在。

读到这里,我自己的判断是:

• 「别让 AI 上网」不是解法,AI 上网正是它被雇来的理由。把它圈起来等于把它的本事也圈走了。
• 「训练它更听话」也不是解法。指令来源不可信时,越听话越危险。
• 真正有用的几条工程动作:把不同来源的内容在上下文里分区并标注来源;对工具输出做一遍独立于模型的小检查;让高权限动作(删数据、付款、外发)必须有非模型链路的人工或规则门;记录每一次「AI 读了哪个 URL」,出事时能回放。
• 防御侧真正缺的,是 Unit 42 在报告结尾点的那句话:在 web 尺度上把这一类攻击主动识别出来,区分恶意和善意指令,定位攻击者意图。这一类基础设施现在还在补。

我没法替别人判定自家系统安全不安全——我自己也只是顺着 Unit 42 那份报告整理了一遍思路。但有一件事我可以确认:真正威胁 agent 的,不是用户输入框里那些经典越狱句式,而是 AI 自己去读世界时,世界里夹带的那些指令。

来源:

• Palo Alto Unit 42,《Fooling AI Agents: Web-Based Indirect Prompt Injection Observed in the Wild》,2026-03-03:https://unit42.paloaltonetworks.com/ai-agent-prompt-injection/