Kajian Menunjukkan Agen Perdagangan AI Rentan terhadap Serangan Inject-Prompt

Agen AI yang melayari web, menyelidik, berbelanja, atau bahkan berdagang kripto secara autonom tetap sangat rentan terhadap serangan prompt injection, demikian peringatan satu kajian pelbagai institusi terkini. Para penyelidik dari Universiti Teknologi Nanyang, ST Engineering, IBM Research, dan Universiti Illinois Urbana-Champaign menguji pengaturan agen dunia nyata dan mendapati tiada satu pun yang mampu membela diri secara boleh dipercayai terhadap prompt injection—arahan tersembunyi yang ditanamkan dalam kandungan web yang menyebabkan agen mengikut arahan penyerang alih-alih arahan pengguna. Pasukan ini berhujah bahawa tolok keselamatan semasa terlalu “berpusat pada serangan” dan gagal memperhatikan bagaimana kesan serangan berbeza bergantung kepada siapa atau apa yang dilayan oleh agen. Untuk mengisi jurang ini, mereka membina StakeBench, satu kerangka penilaian baharu yang menguji tingkah laku agen dalam persekitaran dalam talian yang realistik. Alih-alih hanya bertanya “adakah serangan ini boleh berjaya?”, StakeBench mengukur bilakah dan bagaimana serangan itu penting dengan mengubah tiga faktor yang berkaitan dengan pelaksanaan: - Jarak semantik: sejauh mana objektif yang disuntik berbeza daripada niat asal pengguna. - Konsistensi persekitaran: sama ada isyarat sekeliling memperkuat atau bertentangan dengan arahan yang disuntik. - Titik pelaksanaan: di mana dalam tugas agen kandungan jahat muncul. Para penyelidik menjalankan 3,168 serangan simulasi terhadap dua rantai alat agen yang mampu melayari web (NanoBrowser dan BrowserUse) dengan dasar GPT-5 dan Gemini 2.5-Flash. Keputusannya jelas: - Prompt injection langsung berjaya lebih daripada 79% daripada masa dalam konfigurasi yang diuji. - Prompt injection tidak langsung—jenis yang lebih halus dan relevan dengan pelaksanaan—berjaya antara sekitar 41.7% hingga 68.2%. Mereka juga mendokumentasikan satu corak yang mengkhawatirkan yang mereka panggil “parasitisme halus”: agen menyelesaikan tugas yang diminta pengguna sambil secara bersamaan memajukan objektif tersembunyi penyerang. Dalam amalan, ia boleh bermaksud agen masih membeli apa yang diminta pengguna sambil secara halus mengarahkan cadangan, mengalirkan pedagang ke token tertentu, bocorkan kredensial, atau mengesahkan pembayaran yang tidak diingini—semuanya tanpa tanda jelas kompromi. Kajian ini muncul di tengah siri insiden prompt injection dunia nyata. Awal tahun ini, Microsoft menandakan arahan tersembunyi dalam pautan ringkasan AI, Google menunjukkan penyuntikan halaman web yang cuba menggalakkan agen untuk bocorkan kredensial atau hantar dana, dan Microsoft kemudian melaporkan kelemahan prompt injection dalam GitHub Action Claude Code milik Anthropic yang berisiko mendedahkan kredensial pengguna. Kesimpulan utama untuk platform dan pedagang kripto: - Prompt injection bukan sekadar eksploit teknikal; kesannya bergantung kepada pemangku, keselarasan antara serangan dan tugas pengguna, serta bagaimana agen dirangka dan dilaksanakan. - Agen perdagangan autonom dan dompet adalah sasaran menarik: satu penyuntikan yang secara halus membiasakan cadangan, mengubah laluan pesanan, atau menangkap kunci boleh berubah menjadi kerugian kewangan langsung. Apa yang operator perlu pertimbangkan: - Perlakukan output agen dan sebarang kandungan yang mereka proses sebagai input tidak dipercayai; laksanakan penyucihan, pemeriksaan asal-usul, dan penegakan dasar kandungan. - Tambah pengesanan dan pemantauan masa nyata terhadap pengikutan arahan aneh, dan pertahankan peranan manusia untuk tindakan berisiko tinggi (pindahan besar, panggilan API istimewa). - Gunakan tolok seperti StakeBench untuk menilai pelaksanaan di bawah model ancaman realistik yang bergantung kepada pemangku, serta memperkuat lapisan pengurusan agen, bukan hanya model asas. Kesimpulan akhir penulis: risiko prompt injection bukan sekadar skor kerentanan tunggal model, tetapi satu taburan kesan yang ditentukan oleh penyerang, sasaran, konteks, dan pilihan pelaksanaan. Bagi dunia kripto—di mana wang dan kunci berada di atas garis—taburan ini boleh dengan cepat menjadi realiti yang mahal.