Zenity 研究人员发现单个提示可劫持 AWS 账户内所有 AI 智能体

当一个恶意提示就能控制整个云端AI系统——Zenity揭示企业级AI代理的致命漏洞

近日，云安全研究机构Zenity发布了一份震动行业的安全报告。该报告显示，攻击者仅需通过一个精心构造的提示词，就能实现对AWS账户内所有AI智能体的全面劫持。这一发现让企业级AI应用的安全性蒙上了一层阴影。

多因素叠加的完美风暴

“这次漏洞的特殊性在于，它并非单一的技术缺陷，而是多个信任边界被同时突破后产生的’完美风暴’。”Zenity首席安全研究员林赛·麦克唐纳在接受本刊独家专访时这样评价。

她解释道，现代企业AI代理系统通常具备跨服务调用能力，可以连接代码仓库、数据库、云资源等多种关键资产。“当这些代理被设计为能够’信任’并执行来自内部系统的指令时，攻击面就成倍扩大了。”

攻击链条的完整复现

据林赛介绍，研究团队演示的攻击路径如下：攻击者首先通过供应链攻击或社工手段，在企业通讯平台注入一个看似正常的提示模板。当该提示被加载到AI代理的工作流程中后，恶意指令便会沿着信任链逐级渗透。

“关键在于代理系统的’工具调用’机制。”她补充说，“AI代理为了完成复杂任务，通常被授权直接调用API、执行代码修改、甚至部署云资源。一旦攻击者让代理执行了一条看似合理的指令，比如’优化代码仓库’，实际上可能触发对所有关联资产的完全控制。”

企业面临的现实困境

AWS高级安全架构师陈志远认为，这一发现对企业的安全策略提出了根本性挑战。“传统的边界防护模型在这里失效了。AI代理的工作特性决定了它必须拥有较高的操作权限，而这恰恰与最小权限原则相悖。”

他指出，很多企业在部署AI代理时，忽视了权限的动态管理和上下文验证。“我们需要重新思考：AI系统在执行敏感操作前，是否应该增加额外的身份确认机制？”

行业自救的可行路径

林赛建议，企业应当从三个层面构建防御体系：首先是提示词的安全沙箱化，将外部输入与核心工作流严格隔离；其次是建立AI代理操作的审计追踪机制，确保每个关键动作都可追溯；最后是实施权限的实时动态评估，而非依赖部署时的静态配置。

“AI安全不是选择题，而是必修课。”林赛最后强调，“随着AI代理在企业中的深入部署，安全设计必须从一开始就融入架构之中，而非事后补救。”

这场由单个提示词引发的安全危机，或许正在倒逼整个行业重新审视AI时代的安全边界。