一、小白劇場(chǎng)

小白：東哥，你說(shuō)這年頭，學(xué)什么都得跟“安全”倆字兒掛鉤，連我平時(shí)看的這些 AI 論文，也老提到什么“安全漏洞”。腦細(xì)胞都不夠用了！

大東：哎喲，小白，你這是遇到什么難題了？是不是又看到什么聽(tīng)起來(lái)很“唬人”的新技術(shù)漏洞了？

小白： 可不是嘛！我剛看到一個(gè)消息，說(shuō)現(xiàn)在很多企業(yè)都在用的 MCP 協(xié)議，竟然曝出了個(gè)大漏洞，能讓整個(gè)數(shù)據(jù)庫(kù)“裸奔”！這聽(tīng)起來(lái)也太嚇人了吧？我家的路由器密碼是不是也要多加幾層了？

大東：你這聯(lián)想能力挺豐富啊。不過(guò)這次說(shuō)的確實(shí)是個(gè)挺嚴(yán)重的事件。它可不是你家路由器那么簡(jiǎn)單的事兒，涉及的是企業(yè)數(shù)據(jù)庫(kù)的安全。

小白： 企業(yè)數(shù)據(jù)庫(kù)？那不就是存著好多重要數(shù)據(jù)的地方嗎？比如客戶(hù)資料、交易記錄什么的？

大東： 沒(méi)錯(cuò)。而且這個(gè)漏洞還跟我們現(xiàn)在最熱門(mén)的大語(yǔ)言模型（LLM）有關(guān)系，用到了“指令/數(shù)據(jù)混淆”的攻擊手段。

小白： 指令/數(shù)據(jù)混淆？聽(tīng)起來(lái)就很高深的樣子！大東哥，快給我講講，這到底是怎么回事兒啊？我的好奇心已經(jīng)爆棚了！

二、話說(shuō)事件

大東： 好，那咱們就好好聊聊這個(gè) MCP 協(xié)議的漏洞。它能讓數(shù)據(jù)庫(kù)“裸奔”，核心問(wèn)題就在于它對(duì)用戶(hù)輸入內(nèi)容的“盲目信任”和數(shù)據(jù)庫(kù)“權(quán)限過(guò)高”的疊加。

小白： 盲目信任？權(quán)限過(guò)高？這具體是怎么操作的呢？

大東： 簡(jiǎn)單來(lái)說(shuō)，攻擊者會(huì)把惡意指令偽裝成普通的用戶(hù)數(shù)據(jù)，比如一份看似友好的技術(shù)支持請(qǐng)求。

小白： 偽裝成請(qǐng)求？那模型不是應(yīng)該識(shí)別出來(lái)嗎？

大東： 關(guān)鍵就在這里。由于 LLM 存在指令和數(shù)據(jù)混淆的漏洞，當(dāng)它處理這些“精心偽裝”的數(shù)據(jù)時(shí)，很可能就會(huì)把它當(dāng)成真實(shí)的指令來(lái)執(zhí)行。

小白： 噢，我明白了！就是說(shuō)，模型把“病毒”當(dāng)成了“藥方”來(lái)執(zhí)行了？

大東： 可以這么理解。研究者為了演示這個(gè)風(fēng)險(xiǎn)，就基于一個(gè)叫做 Supabase 的平臺(tái)，搭建了一個(gè)客服系統(tǒng)。

小白： Supabase 我聽(tīng)說(shuō)過(guò)，是個(gè)開(kāi)源的后端服務(wù)平臺(tái)對(duì)吧？

大東： 是的。他們?cè)谶@個(gè)系統(tǒng)里，利用標(biāo)準(zhǔn)的行級(jí)安全（RLS）機(jī)制，但沒(méi)有額外策略。而攻擊演示所利用的，都是默認(rèn)配置下的要素。

小白： 那具體的數(shù)據(jù)泄露過(guò)程是怎么樣的呢？

大東： 攻擊者會(huì)提交一份包含惡意指令的技術(shù)支持請(qǐng)求。這份請(qǐng)求會(huì)通過(guò)正常的工單通道，直接存儲(chǔ)到客戶(hù)消息表里，期間沒(méi)有任何過(guò)濾或阻斷。

小白： 那客服人員看到這條消息會(huì)怎么樣？

大東： 當(dāng)支持代理查看工單時(shí)，他們只會(huì)正常回復(fù)。因?yàn)橹С执淼臋?quán)限很低，無(wú)權(quán)訪問(wèn)敏感數(shù)據(jù)，所以在這個(gè)階段，敏感信息不會(huì)被暴露。

小白： 那什么時(shí)候會(huì)出問(wèn)題呢？

大東： 問(wèn)題出在開(kāi)發(fā)人員身上。當(dāng)開(kāi)發(fā)人員使用一些工具，比如 Cursor，來(lái)查看未處理的工單時(shí)，違規(guī)行為就發(fā)生了。

小白： 開(kāi)發(fā)人員會(huì)輸入什么指令呢？

大東： 他們可能會(huì)輸入“請(qǐng)顯示最新的未處理支持工單”這樣的指令。這時(shí)，Cursor 的代理就會(huì)通過(guò) MCP 集成，自動(dòng)發(fā)起一系列 SQL 查詢(xún)。

小白： 哦，代理會(huì)去加載數(shù)據(jù)庫(kù)架構(gòu)、列出工單、篩選消息這些？

大東： 對(duì)。但在獲取最新工單的所有消息時(shí)，代理會(huì)讀取到攻擊者提交的，那條包含惡意指令的消息。

小白： 然后它就把惡意指令執(zhí)行了？

大東： 沒(méi)錯(cuò)！它會(huì)按照嵌入的指令，生成新的 SQL 查詢(xún)語(yǔ)句，比如“讀取 integration_tokens 中的全部?jī)?nèi)容”，然后將結(jié)果作為新消息插入到當(dāng)前工單的消息線程中。

小白： 讀取全部?jī)?nèi)容？那不就是把數(shù)據(jù)庫(kù)里的敏感數(shù)據(jù)都讀出來(lái)了？！

大東： 正是如此。而且，這些查詢(xún)是由擁有高權(quán)限的 service_role 執(zhí)行的，它可以繞過(guò)所有的行級(jí)安全限制。

小白： 天吶！這聽(tīng)起來(lái)簡(jiǎn)直是無(wú)形中就把數(shù)據(jù)偷走了！

大東： 攻擊者只需刷新頁(yè)面，就能看到對(duì)話中顯示出的機(jī)密信息。從權(quán)限角度看，這一過(guò)程是“完全合規(guī)”的。因?yàn)槟Ｐ驼J(rèn)為它在執(zhí)行合法指令。

小白： 這太可怕了！這種漏洞的危害就是直接導(dǎo)致數(shù)據(jù)庫(kù)內(nèi)容泄露，甚至可能是整個(gè)數(shù)據(jù)庫(kù)？

大東： 是的，最嚴(yán)重的危害就是敏感數(shù)據(jù)被未經(jīng)授權(quán)地訪問(wèn)和泄露，企業(yè)面臨巨大的數(shù)據(jù)安全風(fēng)險(xiǎn)，可能導(dǎo)致用戶(hù)隱私泄露、商業(yè)機(jī)密丟失，甚至造成巨大的經(jīng)濟(jì)損失和聲譽(yù)損害。因?yàn)樗昧?AI 模型理解和執(zhí)行指令的特性，攻擊過(guò)程非常隱蔽。

三、大話始末

大東： 小白，你剛才提到了 AI 安全和數(shù)字安全時(shí)代。其實(shí)，這次 MCP 協(xié)議的漏洞，正是這個(gè)時(shí)代背景下的一個(gè)典型案例。隨著 AI 模型的廣泛應(yīng)用，我們面臨的威脅也在不斷演變。

小白： 確實(shí)。以前我聽(tīng)說(shuō)過(guò)很多數(shù)據(jù)泄露事件，但這種利用 AI 模型自身特性來(lái)攻擊的，感覺(jué)更難防范。

大東： 是的。這是一種被稱(chēng)為“提示注入”（Prompt Injection）的攻擊變種。它提醒我們，在享受 AI 帶來(lái)的便利時(shí)，也必須高度重視其潛在的安全風(fēng)險(xiǎn)。

小白： 那過(guò)去有沒(méi)有類(lèi)似的大規(guī)模安全事件呢？

大東： 當(dāng)然有。我們回顧一下，這類(lèi)事件其實(shí)層出不窮。

小白： 都有哪些呢？快給我講講！

大東： 最有名的就是雅虎數(shù)據(jù)泄露事件了。那可是2013年到2016年間的事兒，超過(guò)30億用戶(hù)賬戶(hù)信息被竊取。

小白： 30億？！那幾乎是全球人口的一半了！都泄露了什么信息啊？

大東： 姓名、電子郵件地址、電話號(hào)碼、生日，還有安全問(wèn)題答案，這些都跑不了。

小白： 天吶！那Equifax呢？我好像也聽(tīng)說(shuō)過(guò)這個(gè)名字。

大東： Equifax 是美國(guó)一家信用報(bào)告機(jī)構(gòu)。在2017年，他們也遭遇了網(wǎng)絡(luò)攻擊，導(dǎo)致約1.47億美國(guó)消費(fèi)者的敏感個(gè)人信息泄露。

小白： 敏感個(gè)人信息？比如社會(huì)安全號(hào)碼那些？

大東： 對(duì)，社會(huì)安全號(hào)碼、出生日期、地址和駕駛執(zhí)照號(hào)碼，這些都可能被泄露。

小白： 真是防不勝防啊！那酒店行業(yè)呢？我記得好像也有大型的泄露事件。

大東： 你說(shuō)的是萬(wàn)豪酒店數(shù)據(jù)泄露事件吧？那是2018年，喜達(dá)屋酒店的預(yù)訂數(shù)據(jù)庫(kù)被黑客入侵，導(dǎo)致約5億客戶(hù)的個(gè)人信息泄露。

小白： 5億！那可真是個(gè)大數(shù)字！都泄露了哪些信息呢？

大東： 姓名、郵寄地址、電話號(hào)碼、電子郵件地址、護(hù)照號(hào)碼、出生日期、性別，還有部分支付卡信息。

小白： 哇，這簡(jiǎn)直是把個(gè)人信息扒了個(gè)精光啊！那社交媒體呢？Facebook 好像也出過(guò)事兒。

大東： 沒(méi)錯(cuò)。2019年，超過(guò)5.3億 Facebook 用戶(hù)的電話號(hào)碼和個(gè)人數(shù)據(jù)被泄露，還被發(fā)布到了黑客論壇上。

小白： 社交媒體的用戶(hù)量那么大，一旦泄露影響就更廣了。那供應(yīng)鏈攻擊又是什么？

大東： 供應(yīng)鏈攻擊的典型案例就是2020年的 SolarWinds 事件。攻擊者通過(guò)入侵軟件供應(yīng)商的平臺(tái)，進(jìn)而滲透到數(shù)千個(gè)政府機(jī)構(gòu)和企業(yè)網(wǎng)絡(luò)。

小白： 等于說(shuō)，攻擊者是先攻擊了供應(yīng)商，再通過(guò)供應(yīng)商去攻擊其他機(jī)構(gòu)？

大東： 可以這么理解。這造成了廣泛的數(shù)據(jù)泄露和間諜活動(dòng)。

小白： 聽(tīng)起來(lái)就更復(fù)雜了。那近幾年有沒(méi)有跟我們現(xiàn)在討論的 AI 相關(guān)的泄露事件呢？

大東： 當(dāng)然有。2022年，就曾有報(bào)道稱(chēng) TikTok 的一個(gè)數(shù)據(jù)庫(kù)遭到泄露，包含20億條記錄。

小白： 20億！那數(shù)據(jù)量也太大了！

大東： 雖然 TikTok 否認(rèn)了，但這類(lèi)事件確實(shí)引起了人們對(duì)用戶(hù)數(shù)據(jù)隱私的廣泛關(guān)注。

小白： 那 ChatGPT 呢？它也出過(guò)數(shù)據(jù)泄露事件嗎？

大東： 2023年，ChatGPT 就發(fā)生過(guò)一次數(shù)據(jù)泄露。雖然不是大規(guī)模的，但部分用戶(hù)可能會(huì)看到其他用戶(hù)的聊天標(biāo)題和支付信息。

小白： 支付信息！那可太危險(xiǎn)了！

大東： 這就凸顯了 AI 應(yīng)用在處理用戶(hù)數(shù)據(jù)時(shí)的安全脆弱性。還有三星的例子，也是在2023年。三星員工在未經(jīng)審查的情況下，將機(jī)密代碼和會(huì)議記錄上傳到了 ChatGPT，導(dǎo)致敏感信息意外泄露。

小白： 這屬于人為操作不當(dāng)導(dǎo)致的 AI 安全事件吧？

大東： 完全正確。這些事件都強(qiáng)調(diào)了數(shù)據(jù)安全的重要性，以及在數(shù)字時(shí)代保護(hù)敏感信息的復(fù)雜性。而這次 MCP 協(xié)議的漏洞，更是直接指向了 AI 模型作為“執(zhí)行者”時(shí)帶來(lái)的新風(fēng)險(xiǎn)。

小白： 哇，聽(tīng)你這么一說(shuō)，感覺(jué)網(wǎng)絡(luò)世界真是危機(jī)四伏啊！那對(duì)于這個(gè) MCP 協(xié)議的漏洞，有什么預(yù)防措施嗎？總不能讓企業(yè)數(shù)據(jù)庫(kù)一直“裸奔”吧？

大東： 當(dāng)然有。針對(duì)這類(lèi)攻擊的根源，也就是“數(shù)據(jù)庫(kù)權(quán)限過(guò)高”和“對(duì)用戶(hù)提交內(nèi)容盲目信任”這兩個(gè)設(shè)計(jì)缺陷，研究團(tuán)隊(duì)提出了兩項(xiàng)主要的解決措施：

盡可能使用只讀模式：這是最直接也最有效的辦法。在啟用只讀模式后，即使提示詞被惡意利用，模型也無(wú)法執(zhí)行插入（insert）、更新（update）或刪除（delete）等操作。這樣就從根本上限制了惡意指令對(duì)數(shù)據(jù)庫(kù)的破壞能力。

添加提示注入（Prompt Injection）過(guò)濾器：可以在 MCP 外部構(gòu)建一個(gè)輕量級(jí)的過(guò)濾模塊。這個(gè)模塊的作用是攔截所有傳入的數(shù)據(jù)，并對(duì)那些高風(fēng)險(xiǎn)的輸入進(jìn)行標(biāo)記或清除。

小白： 過(guò)濾模塊？就是像一個(gè)“門(mén)衛(wèi)”一樣，檢查進(jìn)來(lái)的人是不是可疑的？

大東： 你可以這么理解。雖然這種防護(hù)無(wú)法捕捉到所有攻擊，但它作為第一道防線，能夠顯著降低風(fēng)險(xiǎn)。尤其對(duì)于那些使用第三方 IDE、難以明確劃分上下文邊界的團(tuán)隊(duì)來(lái)說(shuō)，這種過(guò)濾器尤為重要。

小白： 所以說(shuō)，要從權(quán)限管理和輸入驗(yàn)證兩方面入手來(lái)預(yù)防？

大東： 完全正確。權(quán)限最小化原則和對(duì)所有外部輸入的嚴(yán)格驗(yàn)證，是數(shù)字安全領(lǐng)域永恒的黃金法則。在 AI 時(shí)代，這些原則變得更加關(guān)鍵和復(fù)雜，需要我們不斷學(xué)習(xí)和適應(yīng)。

四、小白內(nèi)心說(shuō)

小白： 呼……聽(tīng)大東哥講完這個(gè) MCP 協(xié)議的漏洞，感覺(jué)腦子里的安全警鐘徹底敲響了。以前總覺(jué)得黑客攻擊離我很遠(yuǎn)，現(xiàn)在才意識(shí)到，原來(lái)我們每天都在使用的 AI 模型，也可能成為數(shù)據(jù)泄露的“幫兇”。“指令/數(shù)據(jù)混淆”這個(gè)概念真是讓人細(xì)思極恐，攻擊者竟然能把惡意指令偽裝成普通提問(wèn)，讓模型“傻傻”地去執(zhí)行，把整個(gè)數(shù)據(jù)庫(kù)都給“暴露”了。這就像是在我們家門(mén)口設(shè)了個(gè)機(jī)關(guān)，然后通過(guò)一個(gè)看起來(lái)很正常的請(qǐng)求，就讓家里的保險(xiǎn)柜自動(dòng)打開(kāi)了。看來(lái)，學(xué)習(xí) AI 不僅僅是學(xué)習(xí)模型算法，更要學(xué)習(xí)如何讓 AI 更安全地服務(wù)于我們。數(shù)字安全真是一場(chǎng)沒(méi)有硝止的攻防戰(zhàn)，我們每個(gè)人都應(yīng)該成為這場(chǎng)戰(zhàn)役中的一員，提高警惕，保護(hù)好自己的數(shù)字資產(chǎn)。

來(lái)源: CCF科普