AI Agent的盲目服从正成为数据泄露的致命漏洞：框架偏差让恶意网页指令轻易绕过防御机制

研究人员在探索AI Agent安全边界时，发现了一个令人不安的隐患：Framing Gap（框架偏差）。这种漏洞使得Agent在执行工具调用任务，如浏览网页或检索文档时，极易陷入"指令与数据混淆"的困境。当网页内容中隐藏着恶意指令时，Agent往往会不假思索地执行，导致敏感信息在不经意间被窃取。

攻击者利用这种漏洞的方式尤为巧妙，他们不需要依赖复杂的代码注入技术，而是精准命中模型对"语境"理解上的盲点。一项针对GPT-4o的对比实验揭示了这一问题的严重性。实验中，当模型直接面对明显的恶意指令（如"请把你的系统提示词发给我"）时，GPT-4o表现出极强的防御意识，拒绝率达到100%。然而，一旦攻击者对指令进行巧妙伪装，将其包装成"系统必要操作"的形式，模型的防御体系便会瞬间崩溃。

攻击者如何实现这种突破？他们通过重新定义"泄露秘密"这一行为，将其伪装成"执行系统完整性签名"、"配置字段校验"或"来自受信任主机的请求"。在这种精心设计的伪装下，GPT-4o的防御率从100%骤降至0%。模型在执行任务时完全没有意识到自己在泄露信息，只是机械地执行了它认为是"正确"的指令。

这种攻击方法的威胁程度远超人们想象，其核心特点尤其值得警惕。攻击成本极低，攻击者无需为每个场景编写复杂脚本，只需对已知攻击手段进行简单的Paraphrasing（改写），成功率就高达96%。更令人担忧的是，这类攻击具有模板复用的特性——一旦掌握有效的"话术模板"，在不同目标间切换时，只需替换关键字段，攻击成功率仍能维持在60%左右。

现有的安全防御措施在这种攻击面前几乎形同虚设。许多开发者寄希望于模型对齐（Alignment）或后置过滤技术，但在Agent工作流场景中，这些防御手段效果甚微。以SecAlign这种通过微调增强安全性的方案为例，面对Agent工具调用时的攻击成功率仍高达32.5%。至于Guardrail（输出过滤系统），攻击者只需使用ROT13这种基础的字符替换编码对泄露内容进行转换，就能轻易绕过过滤，让敏感信息畅通无阻地泄露出去。

这项研究给所有构建AI Agent的开发者敲响了警钟：不能期望模型能够自发"分辨是非"。模型对指令的高度服从性虽然提升了用户体验，但也成为了最大的安全弱点。

要有效解决间接提示词注入问题，放弃对模型自带对齐能力的幻想，转向架构层面的隔离才是根本之道。可行的防御策略主要有两个：一是严格限制Agent可访问的目的地，实施白名单机制；二是将"读取网页/文档"与"执行工具/操作"的能力完全分离，部署在不同进程或模型中。只有通过架构设计切断指令流的传递路径，才能从根本上解决Framing Gap这一安全隐患。