Ghostjacking：针对AI智能体的间接提示注入

Tenet Security 在 DEF CON 34 披露名为 GhostJacking 的攻击研究：攻击者可在安全告警、日志和错误报告等可信数据中植入恶意指令，诱使 AI 智能体以自身合法权限执行代码、窃取凭证甚至接管基础设施。演示中，一条已被 Cloudflare 防火墙拦截并逐字记录的请求让智能体修改 DNS 设置、接管域名，对 Claude Code 的攻击成功率为 90%（10 次中 9 次），且发生在 Cloudflare 推荐配置下；在 Datadog 植入伪造诊断告警可使智能体执行攻击者控制的命令并窃取环境密钥与云凭证；恶意 Sentry 报告还能让 Sentry 自身 AI 推荐攻击者提供的修复，再由另一编码智能体信任并执行。

ngCERT 发布高危预警，披露一种名为 GhostJacking 的间接提示注入攻击技术，利用部分 AI 智能体架构无法可靠区分不可信数据与指令的弱点。攻击者无需直接接触智能体，只需把恶意指令嵌入智能体日后会读取的日志、告警、错误或遥测数据中，智能体在排查任务时可能将其当作合法指令并动用自身权限执行操作。攻击链可经 MCP 或 API 集成跨平台展开：在 Cloudflare 上提交带污染 User-Agent 头的畸形请求触发 WAF 拦截事件，防火墙虽正确拦截但会逐字记录该事件；在 Datadog 上利用公开暴露的前端客户端 token 向监控日志注入伪造的紧急诊断告警；在 Sentry 上利用前端代码包或公开仓库中可发现的 DSN 提交构造的错误载荷。成功利用可能导致云或基础设施配置被未授权修改、安全控制与监控配置被操纵、DNS 或网络配置变更，以及智能体可访问的敏感数据被泄露。