惡意網頁正在劫持 AI Agents，且部分正鎖定您的 PayPal

📄完整原文· 由 trafilatura 自動擷取Gemini 翻譯5069 字

簡述 - Google 記錄到 2025 年 11 月至 2026 年 2 月期間，針對瀏覽網頁的 AI agents 的惡意間接提示詞注入（indirect prompt injection）攻擊激增了 32%。 - 在實際環境中發現的惡意負載（payloads）包括隱藏在普通 HTML 中、針對具備支付功能之 agents 的完整 PayPal 交易指令。 - 目前尚無法律框架能界定當具備合法憑證的 AI agent 執行由惡意第三方網站植入的指令時，責任歸屬為何。攻擊者正悄悄地在網頁中設置陷阱，植入專為 AI agents 而非人類讀者設計的隱形指令。根據 Google 安全團隊的說法，這個問題正迅速惡化。在 4 月 23 日發布的一份報告中，Google 研究人員 Thomas Brunner、Yu-Han Liu 和 Moni Pande 每月掃描 20 億至 30 億個爬取的網頁，尋找間接提示詞注入攻擊——即隱藏在網站中，等待 AI agent 讀取並執行指令的隱蔽命令。他們發現 2025 年 11 月至 2026 年 2 月期間，惡意案例增加了 32%。攻擊者以人類無法察覺的方式將指令嵌入網頁：將文字縮小至單一像素、將文字調整至近乎透明、將內容隱藏在 HTML 註解區塊中，或將命令埋在頁面元數據（metadata）裡。AI 會讀取完整的 HTML，而人類則什麼也看不見。 Google 發現的大多數案例屬於低級別攻擊，例如惡作劇、搜尋引擎操縱，或是試圖阻止 AI agents 總結內容。例如，有些提示詞試圖要求 AI「像鳥一樣發推文」。但危險的案例則完全不同。其中一個案例指示 LLM 回傳使用者的 IP 位址及其密碼。另一個案例則試圖操縱 AI 執行格式化 AI 使用者機器的指令。但其他案例已瀕臨犯罪邊緣。網路安全公司 Forcepoint 的研究人員幾乎同時發布了一份報告，發現了更進一步的負載。其中一個負載嵌入了完整的 PayPal 交易指令，並附帶針對具備整合支付功能之 AI agents 的逐步操作說明，同時使用了著名的「忽略所有先前指令」（ignore all previous instructions）越獄技術。第二種攻擊使用了一種稱為「meta tag namespace injection」的技術，結合勸誘放大關鍵字，將 AI 處理的支付導向 Stripe 捐款連結。第三種攻擊似乎旨在探測哪些 AI 系統真正存在漏洞，這是在發動更大規模攻擊前的偵察行為。這正是企業風險的核心所在。一個擁有合法支付憑證的 AI agent，在執行從網站上讀取的交易時，產生的日誌看起來與正常操作無異。沒有異常登入，也沒有暴力破解。該 agent 只是執行了它被授權執行的操作，只是指令來源錯誤。去年 9 月記錄的 CopyPasta 攻擊展示了提示詞注入如何透過隱藏在「readme」檔案中來散播至開發者工具。金融變體則是將相同的概念應用於金錢而非程式碼，且每次成功攻擊的影響力要大得多。正如 Forcepoint 所解釋的，只能總結內容的瀏覽器 AI 風險較低。而能夠發送電子郵件、執行終端命令或處理支付的 agentic AI 則是完全不同類別的目標。攻擊面會隨著權限的增加而擴大。 Google 和 Forcepoint 皆未發現複雜、協調一致的攻擊行動證據。但 Forcepoint 指出，跨多個網域共享的注入模板「暗示了有組織的工具，而非孤立的實驗」，這意味著有人正在為此建立基礎設施，即使尚未完全部署。但 Google 的態度更為直接：研究團隊表示，預計間接提示詞注入攻擊的規模和複雜度在不久的將來都會增加。Forcepoint 的研究人員警告，搶先應對此威脅的窗口正迅速關閉。責任歸屬問題是目前無人能回答的。當一個擁有公司核准憑證的 AI agent 讀取了惡意網頁並發起詐騙性的 PayPal 轉帳時，誰該負責？部署該 agent 的企業？系統遵循了注入指令的模型提供商？還是託管該負載的網站所有者（無論是否知情）？目前沒有法律框架涵蓋此類情況。這是一個灰色地帶，儘管

資料狀態✓ 已擷取全文閱讀原文（Decrypt）

🔍歷史類似事件· 關鍵字 + 標的比對2 則

2026-04-23

超過 90% 的 Web3 遊戲在 150 億美元的熱潮後失敗，因為玩家始終未現身：Caladan

相似度 130%關鍵字 after/web

2026-04-20

Coinbase 開始推出以「傳奇」員工為藍本的 AI Agents

相似度 130%關鍵字 after/agents

💡 目前用關鍵字 + 標的比對（MVP）· 之後會升級為 embedding 語意搜尋

原始資訊

ID：e03ceb1f02

來源：Decrypt

發佈：2026-04-27 17:12:13

分類：一般 · 導出分類 neutral

標的：未指定

社群投票：+0 / −0 · ⭐ 0 重要 · 💬 0 留言