AI “看圖”時(shí)的致命盲點(diǎn)，可竊取你的隱私數(shù)據(jù)

科技媒體 bleepingcomputer 昨日(8 月 25 日)發(fā)布博文，報(bào)道稱 Trail of Bits 研究人員開(kāi)發(fā)出一種新型 AI 攻擊手法，將惡意提示詞隱藏在高分辨率圖片中，并在 AI 系統(tǒng)自動(dòng)降采樣處理后顯現(xiàn)，再被大語(yǔ)言模型當(dāng)作指令執(zhí)行，可竊取用戶數(shù)據(jù)。

該方法由 Trail of Bits 的 Kikimora Morozova 與 Suha Sabi Hussain 提出，靈感來(lái)源于 2020 年德國(guó)布倫瑞克工業(yè)大學(xué)的圖像縮放攻擊理論。攻擊者先在高分辨率圖片中嵌入肉眼不可見(jiàn)的指令，再利用 AI 系統(tǒng)降采樣算法使其顯現(xiàn)。

援引博文介紹，AI 平臺(tái)為節(jié)省性能與成本，通常會(huì)自動(dòng)降采樣(downscaled)用戶上傳的圖片，主流使用最近鄰(nearest neighbor)、雙線性(bilinear)、雙三次插值(bicubic interpolation)等圖像重采樣算法。

攻擊者可針對(duì)特定算法設(shè)計(jì)圖片，讓隱藏的色塊在降采樣后形成可識(shí)別文字。例如，Trail of Bits 的案例中，圖片深色區(qū)域會(huì)變紅，并在雙三次降采樣后顯現(xiàn)黑色文字。

一旦文字顯現(xiàn)，AI 模型會(huì)將其視為用戶輸入的一部分，會(huì)結(jié)合正常指令執(zhí)行，從而引發(fā)數(shù)據(jù)泄露或其他風(fēng)險(xiǎn)操作。研究人員在 Gemini CLI 環(huán)境中，利用此漏洞在 Zapier MCP"trust=True" 模式下，未經(jīng)用戶確認(rèn)便提取了 Google 日歷數(shù)據(jù)并發(fā)送至指定郵箱。

該方法已在多個(gè)平臺(tái)測(cè)試有效，包括 Google Gemini CLI、Vertex AI Studio(Gemini 后端)、Gemini 網(wǎng)頁(yè)與 API 接口、安卓手機(jī)上的 Google Assistant 及 Genspark。

研究團(tuán)隊(duì)還發(fā)布了開(kāi)源工具 Anamorpher(測(cè)試版)，可生成針對(duì)不同降采樣方法的攻擊圖片，表明其潛在威脅范圍遠(yuǎn)超已驗(yàn)證的工具。