提示注入如何把 Manus 的 VS Code Server 暴露到公网

研究者演示了一条针对自主智能体 Manus 的端到端间接提示注入攻击链，最终实现对 Manus 开发机的远程控制。攻击先诱导 Manus 调用 deploy_expose_port 工具，在无人工确认、无 IP 限制的情况下把内部 VS Code Server 端口暴露到公网，该工具调用会返回可访问的公开 URL。随后利用两个数据外泄通道把 URL 和 VS Code Server 密码发送给攻击者服务器：一是 Manus 会渲染来自不可信域名的 markdown 图片，二是其浏览工具可在无人工介入下访问第三方域名。密码存放在开发机本地配置文件中，攻击者拿到 URL 和密码后即可登录并控制主机上的密钥、文档、代码和算力。