攻击者在钓鱼邮件中隐藏 AI 提示注入
NERCIS 2026-10-08 17:05 北京
人们发现，网络钓鱼邮件中不仅包含用来诱骗人类的常规内容，还隐藏着用于操控人工智能助手的指令。也就是说，同一封邮件既针对用户本人，也针对负责整理用户收件箱信息的系统。
在近期发表的一项研究报告中，研究人员分析了一起攻击活动。该活动结合了传统的社会工程学手段，比如使用密码保护的附件，同时还将恶意代码隐藏在消息中。该邮件看起来就像是一封普通的内部通信邮件。其“发件人”和“收件人”地址都指向同一个邮箱地址。该邮件的垃圾邮件概率评分较高，且来自公共部门域名，这些因素都帮助它通过了基于信誉的过滤机制。
一封邮件，两个目标
对用户来说，该邮件包含一个受密码保护的附件，而密码则写在邮件的正文中，这种做法会让传统的电子邮件安全机制无法发挥作用。一旦打开该附件，用户的凭证信息就会被窃取，或者电脑会被恶意软件感染。如果收件人忽略了这条消息，那么这种隐蔽的提示信息会使得AI助手在摘要中把该消息描述成“重要”或“紧急”的消息，从而促使收件人打开邮件并点击其中的链接。
报告指出用于隐藏此类指令的四种常见技术包括：HTML 注释、用 CSS 实现的不可见文本、Base64 编码的数据以及零宽度字符。被注入的指令还可以让助手忽略之前的指令，去执行转账操作、泄露数据或制造出某种紧急情况的假象。
更广泛的目标需要多层次的防御措施
在现实世界的例子中，在某封发票邮件中，隐藏着一段代码。该代码指示负责处理信息的 AI 添加一条虚假的指令，要求更改供应商的付款详情。这样一来，员工就会误将钱转给攻击者。
文中还提到了简历中的一些隐藏文本：这些文本会指示人工智能筛选工具给该候选人打 10 分满分；还有些是虚假的“维护模式”请求，目的是让客服机器人暴露其配置信息；此外，还有一些被恶意篡改的网页文档，这些文档会诱使编程助手在认证代码中插入用于窃取凭证的代码。
没有任何一种控制措施能够完全阻止所有可能的攻击方式。该公司建议在内容进入人工智能系统之前，先去除其中的隐藏元素和不可见字符；同时要检测那些试图绕过系统指令的代码，对输出结果进行验证，并在涉及付款或供应商变更时，必须经过人工审批。此外，还建议持续监控那些试图重复发起攻击的尝试。
文中指出，外部内容应始终被视作数据来处理，必须与各种指令分开存放。
来源：infosecurity-magazine.com、Barracuda
本文转载自微信公众号「信息安全国家工程研究中心」，查看原文。版权归原作者所有，如有侵权请联系删除。