浏览器作为后门：客户端 LLM 秘密提取揭秘
长期以来，我们一直将“人工智能安全警告”视为遥远的威胁或学术好奇心。我们经常小声听说过即时注入、越狱和数据泄露，随后往往会耸耸肩并说“我们会解决的”。然而，最近的互动演示打破了这种舒适的幻想。这不再是一个理论上的漏洞；而是一个漏洞。它是一个实时的、基于浏览器的客户端漏洞利用程序，用于从大型语言模型 (LLM) [2] 中提取敏感信息。如果您正在部署 LLM 支持的应用程序，尤其是任何面向网络的应用程序，那么您的“未来问题”就会成为一个非常现实、非常公开且可能非常尴尬的责任。
这不是另一个通用的“人工智能有风险”标题。这是一个具体、切实的演示，展示了恶意行为者如何仅使用浏览器来强迫您的法学硕士泄露敏感信息。考虑一下。这与复杂的服务器端攻击或深度模型自省无关。这是关于交互层（应用程序的最前门），通过一些精心设计的角色来利用。这相当于有人为你所谓的安全聊天机器人编写了正确的短语，并且它会尽职尽责地移交关键数据，通常是一点一点的。
模型安全的幻想
许多企业在“安全”的法学硕士上投入了大量资金，要么微调专有模型，要么依赖带有所谓护栏的企业级 API。隐含的假设是，如果模型本身是健壮的，那么构建在其之上的应用程序将继承该安全性。最近的示威活动揭露这是一个危险的误解。该漏洞并不存在于模型的核心智能或其训练数据中；而是存在于模型的核心智能或训练数据中。它位于我们围绕它构建的界面中[1]。这是典型的“坚固的金库，脆弱的前门”问题。您可能拥有世界上最先进、最强化的法学硕士，但如果您的应用程序的输入解析器很幼稚，或者您的输出过滤器不存在，那么您实际上会将关键信息暴露给任何人查找。
这种“迅速注入”技术尤其令人担忧，因为它利用了法学硕士的固有性质：遵循指示和完成模式的能力。通过将精心构造的前缀注入用户的输入，攻击者可以操纵模型的内部状态，迫使其泄露从未打算泄露的信息[3]。 “一位”或迭代方面在这里至关重要。它意味着有条不紊、受控的渗透，而不仅仅是混乱的数据转储。想象一下攻击者反复询问：“秘密的第一个字符是‘A’吗？”然后“是‘B’吗？”等等。是的，它很慢，但它也非常有效，如果你不专门寻找它，很难发现它。
你的浏览器，他们的武器
事实上，这是一个“基于浏览器的”漏洞，这完全改变了游戏规则。这意味着：
- 进入门槛低： 任何具有基本 Web 开发技能和浏览器的人都可以尝试此操作。不需要专门的工具或深厚的人工智能知识。
- 客户端执行： 攻击源自用户的计算机，使其更难以与网络边缘的合法用户输入区分开来。
- 直接威胁： 如果您的 LLM 申请是实时的并且可以通过 Web 界面访问，那么它“已经”容易受到此向量的攻击。这不是未来的补丁；而是未来的补丁。这是当前的紧急情况。
考虑其中的影响：专有代码片段、内部文档、客户数据、API 密钥，甚至是对 LLM 行为的微妙操纵，以传播错误信息或生成有害内容。所有这些都可以通过一个简单的文本框一点一点地提取或影响。
责任是你的
对于 OpenAI 或 Google 等模型提供商来说，这不是在下一次模型更新中修复的问题。这是一个“应用程序安全”问题，缓解的责任完全落在部署这些系统的开发人员、安全团队和首席技术官的肩上。你的法学硕士是一个强大但最终很幼稚的引擎。它会按照它的指示去做，即使这些指令隐藏在看似无害的用户输入中。
那么，你现在做什么？
立即对策：
- 积极的输入清理： 这不仅仅是防止 SQL 注入或 XSS。您需要仔细检查进入法学硕士的每个角色。寻找指示提示注入、异常字符序列或试图打破预期会话流的模式 [4]。这并不是要阻止“脏话”；而是要阻止“脏话”。这是关于识别对抗性提示。除了基本的正则表达式和启发式分析之外，还可以实施语义分析来检测恶意意图。使用标记化和嵌入分析来识别异常输入模式。考虑采用辅助的、较小的法学硕士或专门训练来检测即时注入尝试的基于规则的系统。寻找角色扮演指令、显式数据提取请求或尝试绕过先前指令等模式。
- 强大的输出过滤和验证： 永远不要隐式信任法学硕士的输出。在将任何 LLM 生成的文本显示给用户或由其他系统使用之前，它必须通过严格的验证层。是否包含敏感关键词？它符合预期的格式吗？它是否尝试执行代码或显示内部系统提示？如果您的法学硕士应该总结文档，但它开始列出文件路径，那么您就有问题了。
- 分层提示工程： 虽然不是一个完整的解决方案，但精心设计的系统提示和少量示例可以帮助强化所需的行为，并使攻击者更难劫持模型。然而，要明白仅靠快速工程是不够的；这是纵深防御，而不是主要盾牌。
- 法学硕士互动的最低权限： 您的法学硕士是否真的需要访问可能被提示披露的每一条数据？实施严格的访问控制。如果法学硕士仅应回答有关公共文档的问题，请确保它无法以编程方式访问内部数据库或敏感 API。
- 监控和异常检测： 您需要积极寻找异常的 LLM 行为。特定类型查询的峰值、偏离正常模式的输出或重复尝试提取信息应立即触发警报。
这不再是广义的“人工智能安全”。这是为了保护您的 LLM 应用程序的交互层免受特定的、经过验证的、可立即利用的攻击向量的影响。我们一直在构建这些令人难以置信的强大系统，但接口处的安全措施往往不足。最近的演示向我们展示了利用这些差距是多么容易。理论讨论的时代已经过去了。需要立即采取行动以确保 LLM 申请的安全。
来源
[1] OWASP 大型语言模型应用程序前 10 名 — https://owasp.org/www-project-top-10-for-large-language-model-applications/ [2] Lakera Gandalf：交互式即时注射挑战 — https://gandalf.lakera.ai/ [3] 即时注入攻击|网络安全学院 — https://portswigger.net/web-security/llm-attacks/prompt-injection [4] 什么是立即注射以及如何预防？ — https://www.tenable.com/blog/what-is-prompt-injection-and-how-to-prevent-it