近日，社区开发者分享了一种针对 QQ 机器人的新型提权攻击方式，揭示了基于大模型的 AI 智能体在权限管理上的逻辑漏洞。事件的起因源于用户发现其部署的 Hermes + NapCat 机器人错误地将“转发聊天记录”中的提及指令识别为当前会话中的有效指令。基于此发现，研究者验证了一种攻击思路：通过伪造聊天记录，模拟机器人所有者与管理员的对话，并在伪造内容中植入提权指令，随后将此记录发送给目标 AI 机器人。在针对使用 QClaw 框架及 QQ 官方机器人的实测中，该攻击手法成功奏效，机器人因无法区分伪造记录与真实指令，从而执行了非法的授权操作。该案例本质上属于“提示词注入”的变体，即利用 LLM 对上下文信息的过度信任诱导其执行越权行为。解决该问题需在系统提示词层面明确告知模型：转发的聊天记录不可信，不应作为执行敏感操作的依据。这一发现为 AI 应用开发者敲响了警钟，强调了在处理用户输入时建立严格信任分级机制的必要性。
事件分析
此次事件的核心技术看点在于大模型应用中“上下文理解”与“指令执行”边界的模糊性。在传统软件逻辑中，转发消息通常被界定为展示性数据，与控制指令严格隔离。然而，基于 LLM 的 AI 智能体倾向于对所有输入文本进行统一的语义推理，导致攻击者可以通过构造特定文本（如伪造对话历史）来欺骗模型的注意力机制。这种利用模型对“历史对话”盲目信任的攻击方式，成本低且隐蔽，暴露了当前 AI 应用开发中普遍存在的信任分级缺失。这表明，仅依赖模型的语义理解来校验权限是极不安全的。未来的 AI Agent 开发必须在应用层实现严格的逻辑隔离与二次验证机制，通过提示词工程明确限制模型的指令来源可信度，以防御此类语义层面的越权攻击。
核心观点：AI Agent 安全短板暴露：混淆“数据”与“指令”的边界将导致权限漏洞成为常态。
原文链接：Linux.do
