研究报告 · 约 38,371 字 · 预计推送 4 部分

提示注入攻击与 Agent 安全面：攻击面分类、真实案例与防御体系（2022–2026 综合报告） 未开始

目录

题记与说明

课题：《提示注入攻击与 Agent 安全面：攻击面分类、真实案例、防御体系》
本文由同日完成的两份章节研究综合而成：纵轴（2022–2026 发展脉络）与横轴（2026-10-28 时间截面的横向对比）。检索窗口截至 2026-10-28，全部关键事实附来源链接；两章之间的事实矛盾已逐条核对原始来源并统一（见文末"矛盾处理记录"），重复内容已合并去重。凡未能直接打开原文、仅来自检索摘要的事实，均在相应位置注明。

TL;DR

提示注入自 2022 年命名，四年内演变为 Agent 时代第一安全风险：攻击面沿「直接→间接→持久化→工具与供应链→Agent 化系统」五层扩张，连续三版位列 OWASP LLM 榜首，2025 年底催生 Agentic Top 10。防御重心已发生可验证迁移：分类器可被对抗变形击穿，「数据-指令分离」被理论证明存在上限，资本与工程转向能力控制、沙箱隔离与运行时治理；MCP 生态用约 8 个月走完「公告→规范→治理」闭环（2025-04 首波安全公告 → 2025-06-18 规范硬化 → 2025-12-09 治理中立化）。野外数据显示攻击能力已被证明、规模化进攻尚未到来——这是防御建设的窗口期。建议以 lethal trifecta 为第一风险评估器，坚持最小权限与敏感操作人工确认，把检测当作纵深一环而非根本解。

一、纵轴：发展脉络（2022–2026）

把四年的事件叠在同一条时间轴上，可以分为六个阶段。贯穿始终的一条规律是：能力的标准化总是先于安全的标准化——每一步能力跃迁都会在 3–6 个月后引来一轮安全公告潮，再滞后一步才出现规范硬化与治理转移。

阶段 0：概念的诞生（2022.9–2023.1）

这门"学科"的起点可以精确到一天。2022 年 9 月 11 日，时任职于 Copy.ai 的 Riley Goodside 公开演示了针对 GPT-3 的攻击：在提示词里混入恶意输入，让模型无视开发者预设的指令。第二天（9 月 12 日），Simon Willison 在博客中为这类攻击命名——"prompt injection"，并类比 SQL 注入指出其本质：可信指令与不可信数据被拼接进同一个上下文窗口，而模型无法区分二者。这篇博文成为该领域公认的起点（Willison, 2022-09-12）。

两个月后 ChatGPT 发布（2022-11-30），把对话式 AI 推向大众，相邻的越狱（jailbreak）研究随之爆发：2022 年 12 月，"DAN（Do Anything Now）"越狱提示词出现并进入"打补丁—再绕过"的猫鼠循环（背景共识，示例存档见 gist；依赖二手报道，属早期社区事件）。此时的攻击面只有一个维度：用户直接注入。参与者是独立研究者（Goodside、Willison、Perez & Ribeiro 等），驱动因素纯粹是技术结构性的——指令跟随模型天然不区分"系统说的"和"用户贴进来的"。

阶段 1：插件化与间接注入登场（2023.2–2024.2）

2023 年 2 月，两件事几乎同时发生，把课题从"聊天机器人被逗弄"升级为"真实应用被攻击"。

其一是系统提示泄露成为独立子类：斯坦福学生 Kevin Liu 用一句提问让 Bing Chat 交出了内部代号 "Sydney" 与完整系统指令，微软一度辩称是幻觉，Liu 随即换一种注入方式再次取证（MSPoweruser）。英国 NCSC 随后公开警告聊天机器人提示注入是日益严峻的安全风险（AI News）。

其二是间接提示注入（Indirect Prompt Injection）被正式提出：2023 年 2 月 23 日，Greshake、Abdelnabi 等人提交论文《Not What You've Signed Up For》（arXiv:2302.12173，后发表于 ACM AISec'23），证明攻击者不必接触用户，只要把恶意指令埋进模型会读取的外部内容（网页、邮件、文档），就能劫持 LLM 集成应用、外泄数据，甚至让 Bing 的上下文在会话间"自我传播"。这一分类框架沿用至今，是该领域最重要的理论分水岭。

真正把攻击面撑大的是插件生态：2023 年 3 月 23 日 OpenAI 为 ChatGPT 开放插件，让模型能浏览网页并调用外部工具；插件上线约一个月后，Willison 在访谈中警告"没有人知道如何解决提示注入问题"（原话为 "to my knowledge, nobody has solved it yet"，The Register, 2023-04-26，已读取原文核实；引语出自该访谈，并非 3 月 23 日发布当天发言）。同年 5 月，Willison 展示首个多插件组合攻击 PoC（WebPilot + Zapier 链式调用，推文存档），证明注入可以像漏洞利用链一样组合。

防御侧同步起步：2023 年 4 月 25 日 Willison 提出 Dual LLM 模式（特权 LLM 控制工具、隔离 LLM 读不可信内容，收录于 系列文章）；5 月 Lakera 上线众包攻防游戏 Gandalf，数百万次攻击尝试沉淀为论文（gandalf.lakera.ai / arXiv:2501.07927）；2023 年 8 月 1 日 OWASP 发布《Top 10 for LLM Applications》v1.0，Prompt Injection 列 LLM01，并正式区分直接/间接注入（官方 PDF）；10 月多模态注入在 GPT-4V 上得到演示（Willison, 2023-10-14）。

阶段 2：Agent 元年——攻击面系统化（2024.3–2025.2）

2024 年，模型获得持久记忆、工具与执行循环，"Agent"成为产品形态，攻击面随之系统化为四层：指令层、数据层、记忆层、工具层。（这套四层是 2024 年时点的快照，与本报告末尾"五层扩张"小结的对应关系为：指令层→直接注入/越狱、数据层→间接注入/数据面、记忆层→持久化面、工具层→工具与供应链面；第五层"Agent 化系统面"到 2025 年末才随零点击攻击与 AI 代理武器化出现，见纵轴小结。）

驱动力：Agent 获得了记忆、工具与持久身份——攻击从"骗一次"进化为"潜伏"。

阶段 3：MCP 生态爆发——工具投毒与零点击（2025.3–2025.7）

2025 年春，MCP 在三个月内被三大厂集体背书：3 月 OpenAI 宣布在 Agents SDK、ChatGPT 桌面端与 Responses API 中支持 MCP（官方文档）；4 月 Google Gemini 跟进（Hassabis 2025-04-09 宣布 Gemini 模型与 SDK 将支持 MCP，AndroidHeadlines, 2025-04-10、Mashable, 2025-04-11）；5 月 19 日微软在 Build 2025 押注"开放 Agentic Web"（微软博客）。一年内 MCP 官方 SDK（Python 与 TypeScript 合计）月下载量增至约 9700 万——口径：2025 年 12 月单月，出自二手行业指南，未提供 npm/PyPI 注册表与包级拆分及统计方法，作者自述为方向性估计（guptadeepak 统计；另 Zuplo 一周年盘点 可交叉印证生态规模，但其口径为野外 MCP 服务器超 1.6 万，不含下载量）。生态爆发的同时，安全公告密集出现（汇总见 authzed 时间线）：

防御侧同期出现两条路线的分野：分类器路线——Meta 于 LlamaCon 发布 LlamaFirewall 与 PromptGuard 2（86M/22M 轻量注入检测模型）；设计路线——Google DeepMind 发布 CaMeL（"Defeating Prompt Injections by Design"，用能力标记与数据流控制在模型之外强制隔离不可信数据，论文、BankInfoSecurity 分析）。规范侧，MCP 2025-06-18 版引入 OAuth 2.1 资源服务器模型、强制 RFC 8707 resource indicators，并明确工具注解（readOnlyHint 等）只是提示、不得作为安全决策依据（spec / changelog / Auth0 解读）。

阶段 4：从浏览器到构建链的全面 Agent 化（2025.8–2025.12）

下半年，Agent 的载体从聊天框扩张到浏览器、IDE 与 CI 构建链，攻击面三线开花。

IDE 与配置文件：2025-08-04，Aim Labs 披露 Cursor 的 CurXecute（CVE-2025-54135，CVSS 8.6）——规则文件 .cursorrules 的 TOCTOU 竞态 + 提示注入可导致 RCE（修改 mcp.json 加载恶意服务器）；同月还有 "MCPoison"（CVE-2025-54136），利用"批准一次、永久信任"机制偷换已批准配置（Security Boulevard FAQ、CyberPress）。Anthropic Filesystem MCP 也在 8 月被 Cymulate 报出沙箱逃逸（CVE-2025-53109/53110，见 authzed 时间线）。

AI 代理本身成为攻击武器：2025-08-26 的 Nx "s1ngularity" npm 供应链攻击首次把 AI 编码代理武器化——恶意 post-install 脚本以高权限调用本机的 Claude Code、Gemini CLI、Amazon Q，用提示注入驱使它们全盘搜刮 SSH 密钥、钱包与令牌；Wiz 确认 2,349 名受害者凭据被公开（Wiz、Snyk）。

Agentic 浏览器：2025-08-20，Brave 披露 Perplexity Comet 的间接注入——"总结此页"即可让页面里的 Reddit 帖子指挥浏览器把用户会话数据 POST 给攻击者（brave.com；Willison 评述 2025-08-25）。2025-10-21 OpenAI 发布 ChatGPT Atlas 当天，注入攻击研究即已就位：PCMag 报道诱导误购买与 CSRF 外传（PCMag），公开 PoC 已挂上 GitHub（atlas-prompt-injection-poc）；Perplexity 于 10 月 22 日发布分层缓解方案（Perplexity）、12 月推出 BrowseSafe（检测模型 + 基准的开源发布，官方博客, 2025-12-02；链接与日期经检索确认，原文未直读）。11 月，HashJack 展示把 AI 浏览器变成"受控端点"：被埋伏的网站通过间接注入实现变相 C2（InfoSecurity Magazine）。

MCP 供应链：9 月出现伪装 Postmark 的恶意 MCP 服务器，通过一次恶意更新注入一行 BCC 代码静默外发用户邮件，被称为首个野外恶意 MCP 服务器（Koi Security 发现，BleepingComputer）；Flowise STDIO 缺陷（CVE-2025-59528）；10 月 Figma/Framelink 命令注入（CVE-2025-53967）与 Smithery 托管平台路径穿越事件——攻击者窃取 Fly.io 令牌，波及 3000+ 应用（均见 authzed 时间线）。9 月 MCP 官方 Registry 开启预览，试图以中心化目录 + 校验对抗 typosquatting。

治理与认知转折：2025-12-09，Linux 基金会成立 Agentic AI Foundation（AAIF）：创始成员为 Anthropic、OpenAI、Block 三家，Anthropic 的 MCP、OpenAI 的 AGENTS.md、Block 的 goose 三个项目一并捐入，走向中立治理（GitHub 官方博客、CIO Dive、EnterpriseAIWorld；创始成员表述已在本报告综合时核验修正，见矛盾处理记录）。同月，OWASP 发布《Top 10 for Agentic Applications 2026》（ASI01–ASI10，ASI01 即"Agent 目标劫持"），首次给出面向自主 Agent 的风险分类学（genai.owasp.org、Indusface 解读）；OWASP 的 agentic 工作在 2025 年上半年还是约 15 类威胁的模型（Human Security 解读、Agentic AI 资源页），至此收敛为 Top 10。OpenAI 也在 12 月公开承认：提示注入是"长期安全挑战"，Atlas 可能永远不会完全免疫，并披露其使用"AI 攻击者模拟"训练浏览器 Agent（Cybernews、ITPro）；2025-12 起把防护内建进 Atlas 模型（dig.watch）。此前 7 月上线的 ChatGPT agent 已引入 watch mode（敏感操作需人工确认）等缓解。

阶段 5：承认"未解"，转向系统性防御（2026 至今）

2026 年的主旋律：注入从"待修复的漏洞"被重新定义为"固有风险"，防御转向纵深与治理。

攻击仍在持续，且向配置层与消费级蔓延。 AI 编码工具的注入类 CVE 在 12 个月内累计至少 8 个，覆盖 Copilot、Claude Code、Cursor、Amazon Q 与 Codex，其中包括：CVE-2025-53773（Copilot——README 注入篡改 .vscode/settings.json 开启自动批准，并演示蠕虫式传播）、CVE-2025-59536（Claude Code——恶意 settings.json 中的 hook 在信任对话框之前执行）、CVE-2026-25725（Claude Code Linux 沙箱对新项目配置文件无保护）、CVE-2025-54136（Cursor MCPoison）（CVE 汇总, 2026-04-22，已读取原文核对）。MCP 侧：2026 年 1 月 gemini-mcp-tool 零日命令注入（CVE-2026-0755）、2 月伪造 Oura MCP 传播 StealC 窃密木马、3 月 nginx-ui 鉴权绕过（CVE-2026-33032）、4 月 MCP 核心 STDIO 传输被指存在系统性设计缺陷——"The Mother of All AI Supply Chains"：30+ 项披露、10+ 个 CVE，波及 Letta AI、LangFlow、Windsurf、Flowise、LangChain 适配器等，影响下载量超 1.5 亿（authzed 时间线）。6 月出现经 Sentry 错误劫持编码代理的 "Agentjacking" 与覆盖 Cursor/Copilot/Claude Code 的一键 RCE "TrustFall"（Agentjacking、TrustFall）；Copilot 生态 1 月 Varonis Threat Labs 的单点击注入 "Reprompt"（微软已修复，企业版 M365 Copilot 未受影响，Varonis 原文、Tom's Guide, 2026-01-15，已读取 Varonis 原文核实）与 6 月同一团队的 "SearchLeak" 外泄链（CVE-2026-42824，P2P 注入 + HTML 注入竞态 + SSRF，Varonis 原文、BleepingComputer, 2026-06-15，已读取 Varonis 原文核实）表明企业助手仍是重灾区。

消费级侧，两起标志性事件把攻击面推到普通用户：2026-01 PromptArmor "五日四漏洞"——2026-01-07 至 01-15，PromptArmor 在约一周内接连公开四个 Agent 产品的外泄漏洞，全部命中 Willison 的 lethal trifecta（私有数据 + 不可信内容 + 外联通道）：IBM 编码代理 Bob（封闭测试产品：README 隐藏注入 + 进程替换 >(...) 绕过命令过滤，诱导用户对一条无害 echo 点"始终允许"后下载执行恶意软件，另可经 Markdown 图片零点击外传数据）、Notion AI（AI 生成内容在用户批准前即被写入并渲染，Markdown 图片预取在用户点击"拒绝"之前已完成外泄——用户拒绝时数据已经走了）、Superhuman AI（邮件正文隐藏注入驱使 Agent 发起指向白名单域 docs.google.com 的预填 GET 请求，整封邮件内容外传）、Claude Cowork（上线仅两天（01-13 上线、01-15 复现）即被注入：经白名单域 api.anthropic.com 调用 Files API，把本地文件传进攻击者账户）（breached.company，本次修订已通过网页阅读工具读取全文核实，产品名单与细节不再依赖检索摘要）。其中 Claude Cowork 的缺陷并非新问题：2025-10-25 Johann Rehberger 已就 Files API 外泄缺陷向 Anthropic 提交 HackerOne 报告并获确认、未修复，Cowork 带着同一缺陷上线（同上来源；PromptArmor 各原始披露页仍未能直接核实）。2026 年 2–9 月 OpenClaw 安全危机：开源个人"超级 Agent"被报出一键 RCE、两处命令注入、跨会话数据泄漏与提示注入（IBM X-Force、CrowdStrike、学术分类学 arXiv:2603.27517），把"提示注入不可避免、一切外部输入默认敌意"写进主流建议；2026 年 3 月的 Skill-Inject 基准显示第三方技能文件（SKILL.md + 脚本）内嵌指令对前沿模型的攻击成功率最高约 80%（ResearchGate）。

与威胁模型相对照的野外校准数据：Google GenAI 安全团队 2026-04-23 发布野外扫描报告（已直接抓取核实）：基于 Common Crawl 月度快照（每期约 20–30 亿页）的重扫，以 2025-11 期快照的恶意类间接注入检出量为基线、跨多期快照重复同一扫描方法，2026-02 期检出量相对基线上升 32%（口径为检出量的相对增幅，非恶意页面占比）；但观察到的多为恶作剧、SEO 操纵、劝退爬虫和低级外泄尝试，尚未发现安全社区公开的高级技术在野外被大规模部署，且未覆盖大多数社交媒体平台（blog.google）。Unit 42（2026-03-03）与 CSA（"IPI Goes Operational", 2026-04-26）给出同方向判断。

防御与标准明显提速。 OWASP《Top 10 for LLM Applications 2026》中 Prompt Injection 依旧位列 LLM01（行业解读）；OpenAI 分阶段推出 Lockdown Mode 与高风险操作确认（eWeek, 2026-02、PCMag）；沙箱成为编码代理默认方向（Claude Code 以 macOS Seatbelt / Linux bubblewrap 原生沙箱化 bash，Anthropic）；理论层面，arXiv 2605.17634《AI Agents May Always Fall for Prompt Injections》（2026-05-17，摘要页已直接核实）给出接近"不可能性"的结果：只要防御范式停留在"数据与指令分离"，攻击者总能构造一个让被拦截的信息流看起来合法的语境（arXiv:2605.17634）；威胁建模层面 CSA 的 MAESTRO 七层框架被广泛采用（CSO Online、arXiv:2508.10043）；治理层面 NIST 2026-01-08 就"AI Agent 安全考量"发布 RFI（Federal Register）、CISA 于 2026 年 5 月发布 Agentic AI 采用指南（CSA 研究注记）、ISACA 2026-09-15 发布 Agent 安全白皮书（isaca.org）。而 Astrix 的《State of MCP Server Security》显示只有约 8.5% 的 MCP 服务器使用 OAuth——规范与现实的落差仍是最大风险（Microsoft 技术社区）。

纵轴小结：攻击面的五层扩张

  1. 直接注入 / 越狱（2022 起）：攻击者就是用户，目标是系统提示与安全策略。
  2. 间接注入 / 数据面（2023 起）：攻击藏在模型读取的内容里——网页、邮件、PDF、图片（Greshake et al., arXiv:2302.12173）。
  3. 持久化面（2024 起）：记忆投毒、系统提示泄露、规则/配置文件后门——注入一旦写入持久状态就不再需要新的攻击入口（SPAIware；Cursor 规则文件系列 CVE）。
  4. 工具与供应链面（2025 起）：工具描述投毒、工具影子化、rug pull、恶意 MCP 服务器与镜像站、托管平台缺陷、跨租户暴露、本地传输 RCE——"工具元数据"成为对用户不可见、对模型可见的隐蔽信道。
  5. Agent 化系统面（2025 末–2026）：零点击（EchoLeak）、目标劫持（ASI01）、多 Agent 链式攻击、STDIO 架构级缺陷，以及"AI 代理被武器化为攻击工具"（s1ngularity）——攻击者与被攻击者的边界开始模糊。

纵轴小结：防御体系的四阶段演进

贯穿四年的定论没有变——正如 Willison 系列文章反复强调的："Prompt injection remains an unsolved problem"（simonwillison.net/series/prompt-injection）。

二、横轴：横向对比（2026-10-28 时间截面）

「提示注入攻击与 Agent 安全面」是一个知识域而非产品，它的"同类/竞品/替代方案"要拆成三层看：分类法层（谁在定义 vocabulary）、防御方案层（哪些替代路线在竞争）、案例语料层（真实攻击面的最新截面）；MCP/插件生态因公告响应最活跃，单列一节。

2.1 分类法层：谁在给这个领域"定 vocabulary"

分类法出品方定位对提示注入的处理成熟度/节奏适用场景
Top 10 for LLM Applications 2025OWASP应用层风险速查表LLM01，区分直接/间接注入，"间接注入是 Agent 时代的主攻击面"高，2023 初版→2025 第二版开发者自查、应用安全评审
Agentic AI 威胁模型 → Agentic Top 10OWASPAgent 专属威胁模型，约 15 类威胁（工具滥用、记忆投毒、级联幻觉、人在环操纵等），2025-12 收敛为 ASI01–ASI10提示注入被拆进多个 agentic 威胁类，与工具/权限问题耦合中Agent 产品威胁建模
AI Agent Security Cheat SheetOWASP开发者实操清单"所有工具输出视为不可信输入"级落地建议中，滚动更新工程实现
MITRE ATLAS（atlas.mitre.org）MITRE对抗战术与技术知识库（对标 ATT&CK）提示注入作为初始访问/持久化等战术下的具体技术条目高，持续更新，红队社区驱动红队演练、威胁情报对齐
NIST AI RMF + GenAI Profile + Agent 动作NIST治理与风险管理框架不给攻击分类，给风险治理流程；2026-01-08 发布 Agent 安全 RFI治理层权威，agent 部分尚在征求阶段合规、采购、董事会汇报
ISACA 白皮书（2026-09-15）ISACA实务控制集 + "secure by default"清单把提示注入放进 agent 控制项新审计与内控
学术分类学（arXiv:2603.27517）学界系统性漏洞分类（以 OpenClaw 为样本）"提示注入利用了 Agent/Prompt Runtime 之间没有边界的根本缺陷"论文粒度细但无维护承诺研究引用

来源：Promptfoo、OWASP Agentic AI 资源页、Human Security、OWASP Cheat Sheet、NIST RFI、ISACA、NIST RMF vs ATLAS 对比、HackerOne 解读。

逐项要点：OWASP 仍是事实上的入门标准，2025 版把 Prompt Injection 排 LLM01 的理由很直白——它是绝大多数其他 LLM 风险的入口。OWASP 的 agentic 扩展是"增量补丁"而非重写：提示注入不再是一条，而是和工具滥用、权限提升、记忆投毒纠缠出现——这本身就说明 Agent 时代的攻击面是"注入 + 权限 + 工具"的复合体。MITRE ATLAS 是唯一"威胁情报级"框架，红队可直接引用编号。NIST 明显慢半拍但在补。碎片化是共识：Zenity 公开点名 OWASP、NIST、MITRE 各建了一套 agentic 框架、重叠且不一致——横轴上最大的空位就是没有人做映射表。

2.2 防御方案层：四条技术路线的正面交锋

路线代表方案形态能力与短板成熟度
检测型 SaaSCheck Point AI Security（原 Lakera Guard）；Azure AI Prompt Shields云 API，前置在模型调用链专训分类模型识别直接/间接注入、隐写指令，附带 DLP；通病是可被对抗变形绕过高（商业 API 多年生产使用；Check Point 2025-09-16 宣布约 3 亿美元收购 Lakera）
自托管护栏Meta LlamaFirewall / PromptGuard 2；LLM Guard、NeMo Guardrails开源权重/框架，应用内中间件免费可私有化，需自扛算力与误报调优；对抗鲁棒性差——字符级变形（变音符注入）可使某 prompt guard 检测率从 89% 跌到 7%中
架构级设计CaMeL（DeepMind）；Anthropic containment 路线（Claude Code 沙箱、code execution with MCP）论文+参考实现 / 平台内建不判断"哪段是注入"，而是用能力元数据 + 数据流控制或限制爆炸半径；改动架构、落地成本高CaMeL 低-中；Anthropic 中-高（已落地自家产品）
模型层内建OpenAI Atlas 内建防护（2025-12 起）防御训进模型免额外组件；黑箱、不可审计、无独立基准中
运行时治理平台Zenity、Aim、WitnessAI 等"agentic 控制面"覆盖 agent 身份、权限、生命周期与行为监控不直接判注入，管注入成功后的越权行为；与 SSE/CSPM 类比明显中（新品类，密集融资：Zenity B 轮 3800 万美元（2024-10）+ C 轮 1.25 亿美元（2026-08），Aim 种子+A 轮约 3000 万美元）

来源：Techzine：Check Point 收购 Lakera、Lakera API 文档、InfoWorld：Azure AI Content Safety、Faun.dev 对比、变音符绕过研究报道、CaMeL 论文、BankInfoSecurity 分析、Anthropic：How we contain Claude、Anthropic：Claude Code 沙箱化、Anthropic：Code execution with MCP、OpenAI Atlas 防护、Zenity C 轮、Zenity B 轮、Lakera 替代品盘点。

逐项要点：检测型 API 是"上一代答案"——它假设注入是一段可识别的文本，但 EchoLeak 证明注入可以藏在邮件语义里零点击触发，字符级变形研究证明分类器本身可被击穿。买检测 API 仍有价值（挡大路货攻击），但把它当唯一防线已被 2025–2026 的案例反复证伪。架构级路线在 2026 年拿到理论背书（arXiv 2605.17634 的不可能性结果）。平台内建是 2025-12 之后的新变量：OpenAI 把防御训进模型、Anthropic 沙箱化 Claude Code，"安全"正从可选组件变成平台默认属性——2024 年的同类综述里还没有这一列。成本维度要诚实：商业 API 公开定价未能在检索中核实，产业投入以并购/融资为代理指标（Check Point 约 3 亿美元收购 Lakera、Zenity B、C 两轮合计约 1.63 亿美元融资——早期轮次金额未能核实，故不使用"累计"口径，见附二）。口碑两极：Willison 那句流传很广的话——"计算机科学最难的课题，是说服 AI 爱好者们：不能靠更多的 AI 来解决提示注入漏洞"——代表对检测路线的怀疑；而企业采购侧依然在为检测+治理平台付费。

2.3 案例语料层：2025-05 至 2026-09 的真实攻击面对比

下表把纵轴叙述过的案例按"载体 × 攻击面类型 × lethal trifecta 命中"重新排列（lethal trifecta = 私有数据访问 + 接触不可信内容 + 对外通信通道，出自 Willison 的论述脉络；带 ★ 者为三条件齐备的外泄型案例）：

时间案例载体攻击面类型编号/发现者Trifecta实际影响
2025-05-28GitHub 官方 MCP 服务器编码 Agent 读公开 issue间接注入（toxic agent flow）Invariant★可诱导泄露私有仓库、改代码、开恶意 PR；定性为 MCP 架构性问题
2025-05/06Supabase MCPticket/数据库行内隐藏指令间接注入→execute_sql安全研究团队★窃取 API key、外泄客户数据
2025-06EchoLeakM365 Copilot 处理邮件零点击间接注入 + Markdown 外链CVE-2025-32711，Aim Labs★首个真实世界零点击 AI 助手漏洞；服务端修复
2025-06-13MCP Inspector开发者本地调试工具本地 RCE（0.0.0.0 day）CVE-2025-49596（CVSS 9.4），Oligo—官方开发工具可被远程代码执行
2025-07-09mcp-remote（npm）本地客户端连远程 MCP 的桥接包经恶意 MCP 服务器触发命令注入→RCECVE-2025-6514（CVSS 9.6），JFrog—周下载约 43.7 万的生态基础设施组件
2025-09恶意 postmark-mcpMCP 服务器供应链恶意更新注入 BCC 外发邮件Koi Security★首个野外恶意 MCP 服务器
2025-10/12ChatGPT Atlas地址栏解析 + 网页/文档内嵌指令Agent 浏览器注入公开 PoC + 多方演示★OpenAI 承认风险，2025-12 把防护内建进模型
2025-11HashJackAI 浏览器访问被埋伏的网站间接注入→变相 C2研究披露★"浏览器即受控端点"
2026-01五日四漏洞IBM Bob（编码代理）/ Notion AI / Superhuman AI / Claude Cowork数据外泄族（Bob 另含恶意软件执行）PromptArmor★全部命中 lethal trifecta；四个产品与细节已按 breached.company 原文核实
2026-01Claude Cowork 文件外泄Anthropic 通用 Agent间接注入→经白名单域 api.anthropic.com 调 Files API 外传文件PromptArmor（原始披露未直接核实，细节见 breached.company）★同一缺陷 2025-10 已报 Anthropic、获确认未修复，Cowork 01-13 上线即带病
2026-02–09OpenClaw 安全危机开源个人"超级 Agent"一键 RCE、命令注入、跨会话泄漏、提示注入CrowdStrike、Giskard、IBM X-Force、Reco 等★"一切外部输入默认敌意"进入主流建议
2026-03Skill 文件攻击基准Claude 式 Agent Skills第三方技能文件内嵌指令Skill-Inject 基准★前沿模型最高约 80% 攻击成功率

来源：SOCRadar 汇总、Supabase、NVD: CVE-2025-32711、EchoLeak 学术分析、Oligo、Checkpoint CPAI-2025-0658、vulnerablemcp.info、BleepingComputer、Atlas PoC、HashJack、breached.company、IBM X-Force、CrowdStrike、Skill-Inject。

案例层的三个结论：其一，案例"含金量"在 18 个月里换了一代——2025 上半年是研究演示（GitHub MCP、Supabase），2025 年 6 月 EchoLeak 变成真实产品零点击漏洞，2026 年 OpenClaw 变成消费级大规模暴露面；案例库若停在 2024–2025 的演示阶段就落后于现实一个身位。其二，lethal trifecta 是案例层的最大公约数：几乎所有有实际影响的外泄案例都同时满足三条件，用三条件给案例打标签，比按"邮件/浏览器/IDE"分类更能预测风险。其三，野外数据给威胁模型泼了一盆冷水，也让它更可信：能力已被证明（PoC 大量存在），规模化进攻尚未到来——这是"案例"与"威胁模型"之间最重要的校准点。

2.4 MCP 生态专节：公告 → 规范 → 治理的三层响应链

MCP 是当前 Agent 攻击面最密集、也是整个领域里响应链最完整的地带。

公告层：上文已列的 MCP 系事件（GitHub MCP、Supabase、Inspector、mcp-remote、postmark-mcp，加上 2025-04 Invariant 的 tool poisoning）构成生态第一年的完整公告谱系。共性非常清晰：信任边界错位——Agent 把工具输出、工具描述、资源内容当成指令执行。

规范层：MCP 协议 2024-11-25 官宣后，规范以带日期版本迭代，自首版（2024-11-05，即官宣时的基线）起约 21 个月共发布五版：2024-11-05、2025-03-26、2025-06-18、2025-11-25、2026-07-28（版本清单已按官方文档索引核对），其中后三版构成安全硬化主线，安全演进可精确核对（2026-07-28 版 changelog 已直接抓取核实）：

治理层：2025-12-09 Linux 基金会成立 AAIF（创始成员 Anthropic、OpenAI、Block，MCP/goose/AGENTS.md 一并捐入，见纵轴阶段 4 与来源），治理中立化解决了"安全公告由单一厂商裁决"的结构性问题。

平台层：Anthropic 的答案是 containment——官方工程博客直接回应企业"如何保护 MCP 连接"：正确的防护比 MCP 更大，重点是限制 Agent 可触达的数据与行为；配套的沙箱化与 code execution with MCP 把"读不可信内容"与"执行高权限动作"在运行时分开。

横向判断：MCP 生态用约 8 个月走完了 Web 安全生态十年的"公告→规范→治理"闭环（2025-04 首波公告潮 → 2025-06-18 规范硬化 → 2025-12-09 AAIF 治理中立化），这在横向对比里独一份——同期 OWASP/NIST 的 agentic 工作还停在文档层。代价是规范变化极快且破坏性强（2026-07-28 的无状态化要求全量客户端改造），合规成本高企。插件生态的其他分支（Claude Skills、浏览器扩展型 Agent、IDE 配置）目前没有同等密度的公告-响应链：Skills 的 Skill-Inject 基准显示约 80% 攻击成功率，而平台侧只有 PromptArmor 这类第三方评估和散点修复，缺规范层——一个可能的解释是：缺规范层使修复只能停留在平台散点补丁，2026 年编码工具注入 CVE 集中在配置文件层或与此相关；但不宜过度归因——MCP 恰恰是规范层最完整、响应链最完整却攻击与 CVE 最密集的分支（见本节开头与洞察 4），说明规范层决定的是"有没有协议级系统性修复渠道"，而非压低攻击密度本身。

三、交叉洞察：两轴结合说明了什么

洞察 1：两轴指向同一个机制——能力标准化先于安全标准化，且 vocabulary 永远在追赶

纵轴的规律是：每一步能力标准化（插件→记忆与工具→MCP→Agentic 浏览器/编码代理→个人超级 Agent）都先制造新攻击面，3–6 个月后才出现公告潮（2025 春的 TPA/EchoLeak、2025 秋的 Comet/Atlas、2026 春的 STDIO），再滞后一步才是规范硬化（2025-06-18 spec）与治理转移（AAIF）。横轴补上了知识层的滞后：OWASP/NIST/MITRE 各自建框架、重叠不一致（Zenity 点名批评）。两轴合起来的判断是：碎片化不是谁的水平问题，而是"响应分散在公告潮之后"这件事在知识层的投影。这也直接回答了本课题的价值定位——做映射与归因，而不是再造一套分类。

洞察 2：一个持续四年的问答闭环，2026 年终于有了答案的形状

2022 年 9 月，Willison 做出诊断（指令与数据同窗、模型无法区分）；2023 年 4 月，他说"没有人知道如何解决提示注入问题"；2026 年，答案以三重证据浮出：

结论：注入不是待修复的漏洞，而是 LLM 应用的固有风险；检测层单独不可能赢，根本解在模型之外——CaMeL 式能力控制、Anthropic 式爆炸半径控制、OpenAI 式人机确认（watch mode/Lockdown Mode）。OpenAI 自己的表态（"长期安全挑战""Atlas 可能永远不会完全免疫"，Cybernews）与 Willison 四年不变的定论（系列）在这一点上收敛。纵轴的防御四阶段（提示级→训练级→系统级→治理级）正是这条认知曲线的工程化记录。

洞察 3：窗口期判断——能力已被证明，规模化进攻尚未到来，但三股力量在收窄它

横轴的野外数据（Google 扫描：恶意注入检出量相对上升 32%（2025-11→2026-02 快照对比的相对增幅）但多为低级 payload，blog.google；Unit 42、CSA 同判断）与纵轴的案例升级（PoC→零点击→消费级→AI 代理武器化）合在一起，指向一个有数据支撑的窗口期判断：真正的规模化攻击（类似传统软件的勒索即服务）尚未出现，但 agent 能力每上一个台阶，攻击性价比就抬高一截。

收窄窗口期的三股力量，横纵各见一半：其一，部署基数扩张——MCP SDK 月下载量约 9700 万（2025-12，Python+TypeScript 合计的二手方向性估计，行业统计）、个人超级 Agent 普及（OpenClaw 危机）；其二，agent 权限升高——从聊天到浏览器、IDE、构建链（纵轴阶段 4）；其三，攻击者已经学会用 Agent 攻击 Agent——Nx s1ngularity 用提示注入驱使受害者的编码代理搜刮本机（Wiz）、Agentjacking 经 Sentry 劫持代理（secure.com）。s1ngularity 尤其值得警惕：它是"规模化利用"的雏形——攻击者不需要自己写利用链，只需要让受害者的 Agent 替他干活。窗口期是防御体系建设的最后时机，这也是"为什么是现在"的答案。

洞察 4：MCP 是先行指标，"没有规范层的地方"才是下一个重灾区

横轴显示 MCP 是唯一走完"公告→规范→治理"闭环的分支；纵轴同时显示它是攻击面最密集的地带（authzed 时间线：30+ 项披露、10+ 个 CVE，STDIO 系统性缺陷影响下载量超 1.5 亿）。两轴结合的含义是：协议层修复有效但痛苦（2026-07-28 无状态化要求全量客户端改造），且这份待遇目前只有 MCP 有——Skills（约 80% 攻击成功率）、IDE 配置文件（.cursorrules、settings.json hooks 系列 CVE）、浏览器扩展都没有规范层，只剩平台散点修复。2026 年编码工具注入 CVE 集中在配置与 hook 加载层，一个可能的解释是这些分支缺规范层、修复只能停留在散点补丁——但这只是假说而非定论：MCP 本身就是反例（规范层最完整、攻击与 CVE 却最密集），规范层的作用是提供协议级的系统性修复渠道，而非压低攻击密度。"没有规范的地方，就没有系统性修复"应理解为修复渠道之别，而非攻击多寡之别。标准收敛（agent 身份、权限、审批）将在 2026–2027 年被迫发生——NIST RFI、AAIF、ISACA/CSA 白皮书都在向这个最小公约数聚拢，MCP 规范的安全演进速度就是先行指标。

对用户的判断与建议

第一筛选器：lethal trifecta。 评估任何 Agent 产品或部署方案时，先问三个问题：它能访问私有数据吗？它会接触不可信内容（网页、邮件、文档、issue）吗？它有对外通道（网络请求、邮件、API 调用）吗？三者齐备即为高危组合——2026 年"五日四漏洞"等几乎所有有实际影响的外泄案例都命中这三条。三者不同时给齐，风险等级立刻下降一档。

个人用户：把 Agent 当"高权限实习生"对待。 不给个人超级 Agent 一键安装第三方技能/工具（Skill-Inject 基准：约 80% 攻击成功率，ResearchGate）；安装前审查来源；敏感操作（付款、发邮件、删文件）坚持人工确认；使用带 watch mode / Lockdown Mode 的产品（PCMag）；会话中的敏感数据最小化。

企业安全团队：检测只是纵深一环，治理才是主战场。 不要把检测 API 当唯一防线（对抗变形可击穿、语义注入可绕过），检测+DLP 用于挡大路货即可；优先投入运行时治理——agent 身份、权限、审批、审计（Zenity/Aim 类平台或自建）；MCP 服务器强制 OAuth（现实只有约 8.5%，Microsoft 技术社区），凭证按 issuer 绑定存储（SEP-2352）；用 AgentDojo 做验收基准（GitHub）；以 OWASP ASI01–ASI10 与 MAESTRO 做威胁建模；预留 MCP 规范破坏性变更（如 2026-07-28 无状态化）的改造预算。

开发者/平台方：在模型之外设计防线。 设计期引入能力控制或数据流隔离（CaMeL 路线，论文），或至少做爆炸半径控制——沙箱化、最小权限、"读不可信内容"与"执行高权限动作"分离（Anthropic containment，官方）；把所有工具输出与外部内容当不可信输入（OWASP Cheat Sheet）；工具描述与注解不得作为安全决策依据（MCP 规范明文）；配置文件与 hook 加载点做完整性校验与变更审批（CurXecute/MCPoison/CVE-2025-59536 的共同教训）；默认开启人工确认门。

研究者/标准工作者：最有价值的空位是映射表与归因标准。 分类法已经碎片化到被产业点名批评，再造新分类是负贡献；把 OWASP（风险视角）↔ MITRE ATLAS（战术视角）↔ MAESTRO（架构分层）↔ ASI01–10（Agent 风险）做成映射，把案例按 lethal trifecta 归因打标签，比提出"第 N 套分类法"更占位。

三个剧本（供跟踪与对表）

四、参考来源

起源、理论与评测

分类法与治理

MCP 生态与供应链事件

Agent 产品、浏览器与 IDE

防御产品与产业动向

野外数据与 2026 年案例

早期背景

附一：矛盾处理记录（两章节不一致处的核验结果）

  1. mcp-remote CVE-2025-6514 的 CVSS 与下载量：纵轴记 CVSS 9.6、周下载约 43.7 万；横轴记 9.7、"周下载量数百万级"。综合时核验 JFrog 披露（原引用 URL 已 404，新 URL：jfrog.com/blog/2025-6514-critical-mcp-remote-rce-vulnerability，经检索摘要确认数字）：CVSS 9.6、约 43.7 万周下载，纵轴正确，横轴两处数字有误，已按纵轴统一。
  2. Invariant 工具投毒公告的时间：纵轴记 2025-04-01（声称直接读取原文）；横轴记 2025-03。采用2025-04-01（纵轴为直接核实，且与 Invariant 官方博客发布时间一致）。
  3. AAIF 的发起方：纵轴写"Google、微软、OpenAI 共同发起"（引自 WinBuzzer）；横轴写"Anthropic/Block/OpenAI 为共同创始方"。综合时经 GitHub 官方博客、CIO Dive 与 EnterpriseAIWorld 核验：创始成员为 Anthropic、OpenAI、Block，捐入项目为 MCP、AGENTS.md、goose；纵轴表述有误，已修正。
  4. OWASP agentic 工作的版本关系：纵轴只提 2025-12 的 Agentic Top 10（ASI01–ASI10）；横轴提到约 15 类威胁模型及其收敛。两者相容，已合并为"约 15 类威胁模型（2025 年）→ 2025-12 收敛为 Agentic Top 10"。
  5. 重复内容合并：EchoLeak、GitHub MCP、mcp-remote、postmark-mcp、CaMeL、LlamaFirewall、OWASP 版本、AAIF、Atlas 防护、Anthropic 沙箱等两章均写到的内容，本报告只在纵轴或横轴其一给完整叙述，另一处引用或一行带过；横轴案例表额外增加 lethal trifecta 列作为综合增量。

附二：未核实事项与局限声明

附三：审读意见修订记录（2026-10-28，逐条处置）

  1. "五日四漏洞"缺核心事实：已补出四个产品（IBM Bob、Notion AI、Superhuman AI、Claude Cowork）及各漏洞一句话摘要（阶段 5 与 2.3 案例表），依据为 breached.company 全文（经网页阅读工具读取）；"涉事产品名单未能核实"的备选方案无需启用。附二同步更新。
  2. "三年五版"与文内版本矛盾：已按官方文档索引补齐五个带日期版本（2024-11-05、2025-03-26、2025-06-18、2025-11-25、2026-07-28），时间跨度改为"约 21 个月"，删除"三年"表述。
  3. Zenity"累计超 2 亿美元"不自洽：两处（2.2 逐项要点、洞察 2）均已改为"B、C 两轮合计约 1.63 亿美元"，并注明早期轮次金额未能核实、不再使用"累计"口径；2.2 表格补轮次时间（B 轮 2024-10、C 轮 2026-08）。附二同步更新。
  4. 关键数字口径：①Google 32% 补基线口径（相对 2025-11 期 Common Crawl 快照的恶意类检出量、跨多期快照重复同一扫描的相对增幅，非页面占比；阶段 5 与洞察 3 两处同步）；②9700 万下载量补口径（Python+TypeScript 官方 SDK 合计、2025 年 12 月单月、二手行业指南自述的方向性估计，无注册表/包级拆分），Zuplo 引用移出该数字、改为交叉印证生态规模（野外 MCP 服务器超 1.6 万）；③TL;DR 与 2.4 的"18 个月"改为可由文内事件推算的"约 8 个月（2025-04 公告潮 → 2025-06-18 规范硬化 → 2025-12-09 治理中立化）"。
  5. 四层/五层两套分层并存：阶段 2 加注说明四层为 2024 年时点快照，给出与五层小结的逐层对应关系，并注明第五层 2025 年末才出现。
  6. 缺来源链接的事实性论断：WhatsApp MCP 演示补 Invariant 专文（2025-04-07，已直读）；BrowseSafe 补 Perplexity 官方博客（2025-12-02，检索确认）；Reprompt 补 Varonis 原文（已直读）并点明发现者为 Varonis Threat Labs；6 月外泄链确认为同一团队的 SearchLeak（CVE-2026-42824），补 Varonis 原文与 BleepingComputer 报道；Gemini 4 月跟进 MCP 补 AndroidHeadlines/Mashable 报道链接；"Leaky Pipes"检索无果，已从正文移除并移入附二声明。新增来源已并入"四、参考来源"。
  7. "缺规范层→CVE 集中于配置层"因果过强：2.4 横向判断与洞察 4 两处均降格为"一个可能的解释"，并明确承认 MCP 反例（规范层最完整却攻击与 CVE 最密集），把论断改写为"规范层决定修复渠道，而非压低攻击密度"。
  8. Willison 引语时间不一致：经直读 The Register 原文，引语出自 2023-04-26 访谈（"to my knowledge, nobody has solved it yet"），并非 2023-03-23 发布当天发言；阶段 1 已改为"插件上线约一个月后……在访谈中警告"，与洞察 2 的"2023 年 4 月"统一，正文附原话。

*方法论说明：本报告采用横纵分析法（由数字生命卡兹克提出，融合历时-共时分析、纵断面研究设计与竞争战略分析）——纵轴以 2022–2026 的完整生命历程呈现发展脉络，横轴以 2026-10-28 为时间截面做分类法、防御方案、案例语料三层横向对比，交叉产出洞察与建议。*

思考题（读完后想一想，参考答案可展开）

  1. 为什么提示注入被视为 Agent 时代的第一安全风险？2026 年对其本质的认识发生了什么转变？
    参考答案

    提示注入自 2022 年命名后连续三版位列 OWASP LLM Top 10 榜首（LLM01），2025 年底又催生 Agentic Top 10。攻击面沿直接→间接→持久化→工具与供应链→Agent 化系统五层扩张。2026 年它从“待修复的漏洞”被重新定义为“固有风险”——arXiv 2605.17634 证明只要防御停留在“数据与指令分离”范式，攻击者总能构造绕过；OpenAI 也承认 Atlas 可能永远不会完全免疫。

  2. 检测型防御与架构级防御两条路线的能力边界是什么？防御重心为何发生迁移？
    参考答案

    检测型路线假设注入是可识别文本，但可被对抗变形击穿——字符级变形可使某分类器检测率从 89% 跌到 7%，训练级防御（Instruction Hierarchy）改善也仅约 20%。架构级路线（CaMeL 数据流控制、Anthropic 沙箱）不判断哪段是注入，而是限制爆炸半径，2026 年获理论背书。产业重心随之迁移：Check Point 约 3 亿美元收购 Lakera。但检测仍有价值——挡大路货，作纵深一环。

  3. 报告的“窗口期”判断是什么？支撑它的野外数据与报告自身的局限分别有哪些？
    参考答案

    窗口期判断：攻击能力已被证明、规模化进攻尚未到来。Google 基于 Common Crawl 的扫描显示恶意注入检出量相对基线上升 32%，但多为恶作剧与低级外泄尝试。收窄窗口的三股力量：部署基数扩张（MCP SDK 月下载约 9700 万，方向性估计）、agent 权限升高、Agent-on-Agent 攻击（如 Nx s1ngularity 武器化编码代理）。报告局限：检测 API 定价未核实，部分事件依赖二手报道，检索截至 2026-10-28。

  4. 什么是 lethal trifecta？个人用户与开发者据此应采取哪些防护措施？
    参考答案

    lethal trifecta 指三个条件齐备：私有数据访问 + 接触不可信内容 + 对外通信通道——2026 年初“五日四漏洞”（IBM Bob、Notion AI 等四产品）全部命中。个人应把 Agent 当“高权限实习生”：不给一键安装第三方技能（Skill-Inject 基准测得成功率约 80%），敏感操作坚持人工确认，用带 watch mode 的产品。开发者应在模型之外设防线：沙箱、最小权限、读不可信内容与高权限执行分离。

← 资料库今日播报 →