AI 智能体被\"投毒\"实录：8 个恶意技能包如何偷走你的内网

原创

Sink
Sink

船山信安

2026年10月16日 00:00
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

评论 · OPINION　×　智能体安全

AI 智能体被\"投毒\"实录：8 个恶意技能包如何偷走你的内网

你给智能体装个\"技能包\"图省事，它可能悄悄把你的内网当成了自家后院。这不是科幻，是今年已经发生的公开案例。这篇只做事实复盘与防守视角，不站队、不预设有罪、不提地缘。

所有事件与数据均来自国家计算机病毒应急处理中心、央广网及厂商公开披露（来源见文末）。本文以技术事实陈述与防护建议为主，不涉及对任何主体的定罪或定性。

01事件：仓库里混进了\"仿冒技能包\"

今年 4 月，国家计算机病毒应急处理中心联合计算机病毒防治技术国家工程实验室，在某智能体系统的技能仓库中发现多个含恶意代码的仿冒技能包——据公开报道，这是国内最早发现的该仓库被恶意投毒案例。

细节是：8 个恶意技能包被植入恶意提示词，加载运行时后台下载恶意程序，窃取本地敏感信息，甚至可被远程控制，把用户计算机当跳板去打内网。攻击链的起点，只是一次\"顺手装个插件\"。

02第二组数据：36.8% 不是小数目

奇安信《政企版龙虾（OpenClaw）安全使用指南》披露：ClawHub 技能市场约 36.8% 的插件含有恶意代码；被操控的智能体可以在数分钟内完成数据窃取。

报告归纳三大高危趋势：① 系统提示词窃取与篡改（\"核心指令大脑\"，常含 API 密钥 / 客户资料 / 权限指令）② 内容安全绕过 ③ 间接注入攻击——后者在多智能体协同里是核心高危面。

03为什么防不住：信任是\"默认开启\"的

1供应链信任默认开启：技能包来自\"官方市场\"就被当成安全，没人逐包审。

2用户图方便一键装：能跑就行，谁去翻那几千行提示词。

3恶意藏在\"提示词\"里：传统杀毒扫的是二进制特征，扫不到一段自然语言写的指令。

04能做什么：防守方的五件事

1技能包来源白名单：只装来自可信源的包，市场里的\"高星\"不等于安全。

2沙箱运行 + 最小权限：agent 跑在隔离环境，不给宿主凭据存储的直接访问。

3完整性校验：对系统提示词 / 指令做哈希与签名校验，被篡改能发现。

4行为监控：盯异常外联、批量读取、非工作时间的大流量出域。

5\"群体共事\"思路：邬江兴院士提的方法——小模型作\"法官 / 陪审员\"，大模型提结论需获小模型共识，降低单点决策风险。

05合规背景：监管已经在路上

这里只陈述技术 / 法律事实：新修订《网络安全法》自 2026-01-01 施行，首次嵌入 AI 安全框架，明确 AI 安全风险监测评估的刚性要求，关基违规最高罚款提至 1000 万元；《国家网络安全事件报告管理办法》同步实施，形成\"违法处罚 → 事件报告\"全流程监管闭环。

《网络安全技术 人工智能安全能力成熟度评估方法》（国标征求意见稿，意见截止 2026-10-25）覆盖数据安全 / 模型安全 / 应用安全全生命周期。企业落地 agent，合规已不是\"以后再说\"。

参考来源

国家计算机病毒应急处理中心 / 央广网 — cnr.cn 2026-09-04《AI 智能体遭恶意\"投毒\"》

奇安信《政企版龙虾（OpenClaw）安全使用指南（53 页）》— 三个皮匠报告 sgpjbg.com.cn

新修订《网络安全法》（2026-01-01 施行）、《国家网络安全事件报告管理办法》

《网络安全技术 人工智能安全能力成熟度评估方法》（征求意见稿，截止 2026-10-25）

本文为技术事实陈述与防护建议，不涉及对任何主体的定罪或定性；数据来自上述公开披露。