浏览器作为后门：客户端 LLM 秘密提取揭秘
长期以来，我们一直将“人工智能安全警告”视为遥远的威胁或学术好奇心。我们经常小声听说过即时注入、越狱和数据泄露，随后往往会耸耸肩并说“我们会解决的”。然而，最近的互動演示打破了這種舒適的幻想。這不再是一個理論上的漏洞；而是一個漏洞。它是一个实时的、基于浏览器的客户端漏洞利用程序，用于从大型语言模型 (LLM) [2] 中提取敏感信息。如果您正在部署 LLM 支援的應用程序，尤其是任何面向網路的應用程序，那麼您的「未來問題」就會成為一個非常現實、非常公開且可能非常尷尬的責任。
这不是另一个通用的“人工智能有风险”标题。这是一个具体、切实的演示，展示了恶意行为者如何仅使用浏览器来强迫您的法学硕士泄露敏感信息。考慮一下。这与复杂的服务器端攻击或深度模型自省无关。这是关于交互层（应用程序的最前门），通过一些精心设计的角色来利用。這相當於有人為你所謂的安全聊天機器人編寫了正確的短語，並且它會盡職盡責地移交關鍵數據，通常是一點一點的。
模型安全的幻想
許多企業在「安全」的法學碩士上投入了大量資金，要么微調專有模型，要么依賴帶有所謂護欄的企業級 API。隱含的假設是，如果模型本身是健壯的，那麼建立在其之上的應用程式將繼承該安全性。最近的示威活動揭露這是一個危險的誤解。该漏洞并不存在于模型的核心智能或其训练数据中；而是存在于模型的核心智能或训练数据中。它位於我們圍繞它構建的介面中[1]。这是典型的“坚固的金库，脆弱的前门”问题。您可能擁有世界上最先進、最強化的法學碩士，但如果您的應用程式的輸入解析器很幼稚，或者您的輸出過濾器不存在，那麼您實際上會將關鍵資訊暴露給任何人查找。
這種「迅速注入」技術尤其令人擔憂，因為它利用了法學碩士的固有性質：遵循指示和完成模式的能力。透過將精心建構的前綴注入使用者的輸入，攻擊者可以操縱模型的內部狀態，迫使其洩漏從未打算洩漏的資訊[3]。 “一位”或迭代方面在这里至关重要。它意味着有条不紊、受控的渗透，而不仅仅是混乱的数据转储。想象一下攻击者反复询问：“秘密的第一个字符是‘A’吗？”然后“是‘B’吗？”等等。是的，它很慢，但它也非常有效，如果你不專門尋找它，很難發現它。
你的瀏覽器，他們的武器
事實上，這是一個「基於瀏覽器」的漏洞，這完全改變了遊戲規則。這意味著：
- 进入门槛低： 任何具有基本 Web 开发技能和浏览器的人都可以尝试此操作。不需要專門的工具或深厚的人工智慧知識。
- 客戶端執行： 攻擊源自用戶的計算機，使其更難以與網路邊緣的合法用戶輸入區分開來。
- 直接威脅： 如果您的 LLM 申請是即時的並且可以透過 Web 介面訪問，那麼它「已經」容易受到此向量的攻擊。这不是未来的补丁；而是未来的补丁。這是當前的緊急情況。
考慮其中的影響：專有程式碼片段、內部文件、客戶資料、API 金鑰，甚至是對 LLM 行為的微妙操縱，以傳播錯誤訊息或產生有害內容。所有這些都可以透過一個簡單的文字方塊一點一點地提取或影響。
責任是你的
對於 OpenAI 或 Google 等模型供應商來說，這不是在下一次模型更新中修復的問題。這是一個「應用程式安全」問題，緩解的責任完全落在部署這些系統的開發人員、安全團隊和首席技術長的肩上。你的法學碩士是一個強大但最終很幼稚的引擎。它會按照它的指示去做，即使這些指令隱藏在看似無害的使用者輸入中。
那麼，你現在做什麼？
立即對策：
- 積極的輸入清理： 這不僅僅是防止 SQL 注入或 XSS。您需要仔細檢查進入法學碩士的每個角色。尋找指示提示注入、異常字元序列或試圖打破預期會話流的模式 [4]。這不是要阻止「髒話」；而是要阻止「髒話」。這是關於識別對抗性提示。除了基本的正規表示式和啟發式分析之外，還可以實施語意分析來偵測惡意意圖。使用標記化和嵌入分析來識別異常輸入模式。考慮採用輔助的、較小的法學碩士或專門訓練來檢測即時注入嘗試的基於規則的系統。尋找角色扮演指令、明確資料擷取請求或嘗試繞過先前指令等模式。
- 強大的輸出過濾和驗證： 永遠不要隱式信任法學碩士的輸出。在將任何 LLM 產生的文字顯示給使用者或由其他系統使用之前，它必須通過嚴格的驗證層。是否包含敏感關鍵字？它符合預期的格式嗎？它是否嘗試執行程式碼或顯示內部系統提示？如果您的法學碩士應該總結文檔，但它開始列出文件路徑，那麼您就有問題了。
- 分層提示工程： 雖然不是一個完整的解決方案，但精心設計的系統提示和少量範例可以幫助強化所需的行為，並使攻擊者更難劫持模型。然而，要明白僅靠快速工程是不夠的；這是縱深防禦，而不是主要盾牌。
- 法學碩士互動的最低權限： 您的法學碩士是否真的需要存取可能被提示披露的每一條數據？實施嚴格的存取控制。如果法學碩士僅應回答有關公共文件的問題，請確保它無法以程式設計方式存取內部資料庫或敏感 API。
- 監控和異常檢測： 您需要積極尋找異常的 LLM 行為。特定類型查詢的峰值、偏離正常模式的輸出或重複嘗試提取資訊應立即觸發警報。
這不再是廣義的「人工智慧安全」。這是為了保護您的 LLM 應用程式的互動層免受特定的、經過驗證的、可立即利用的攻擊向量的影響。我們一直在建立這些令人難以置信的強大系統，但介面處的安全措施往往不足。最近的演示向我們展示了利用這些差距是多麼容易。理論討論的時代已經過去了。需要立即採取行動以確保 LLM 申請的安全。
來源
[1] OWASP 大型語言模型應用程式前 10 名 — https://owasp.org/www-project-top-10-for-large-language-model-applications/ [2] Lakera Gandalf：互動式即時注射挑戰 — https://gandalf.lakera.ai/ [3] 即時注入攻擊|網路安全學院 — https://portswigger.net/web-security/llm-attacks/prompt-injection [4] 什麼是立即註射以及如何預防？ — https://www.tenable.com/blog/what-is-prompt-injection-and-how-to-prevent-it