针对 AI 浏览器（如 OpenAI 的 ChatGPT Atlas）的提示注入攻击是一种难以彻底解决的持续性安全风险。这种攻击通过在网页或邮件中隐藏恶意指令来操控 AI 代理，使其执行非预期的操作。为应对这一挑战，OpenAI 正在使用一种由强化学习训练的自动化攻击机器人来模拟黑客行为，以主动发现并修复漏洞。尽管防御措施在不断加强，但安全专家认为，目前 AI 浏览器的风险依然很高，其提供的价值尚未完全匹配其潜在威胁，因此建议用户通过限制 AI 权限和确认关键操作来降低风险。
一项难以根除的长期挑战
提示注入攻击是一种利用隐藏指令来操纵 AI 代理行为的攻击方式。OpenAI 承认，这种安全威胁在可预见的未来不会消失。
“提示注入，就像网络上的诈骗和社交工程一样，不太可能被完全‘解决’。”
这种观点也得到了其他机构的认同。英国国家网络安全中心（NCSC）同样警告说，针对生成式 AI 应用的提示注入攻击“可能永远无法完全缓解”。他们建议专业人士专注于降低风险和影响，而不是期望能够完全“阻止”这类攻击。
OpenAI 的应对策略：用 AI 对抗 AI
面对这项艰巨的任务，OpenAI 采取了一种积极、快速响应的防御周期，其核心是一种创新的工具——基于大语言模型的自动化攻击者。
这个工具本质上是一个机器人，它通过强化学习被训练来扮演黑客的角色。其工作方式如下：
- 模拟攻击： 该机器人会模拟各种攻击，以探索如何向 AI 代理植入恶意指令。
- 分析与迭代： 它可以观察目标 AI 在遭受攻击时的“思考过程”和行为，然后根据这些反馈调整和优化攻击策略，并反复尝试。
- 发现未知漏洞： 由于能够洞察 AI 的内部逻辑（这是外部攻击者不具备的优势），该机器人能比真实攻击者更快地发现系统缺陷，甚至找到了许多人类安全团队未能发现的新型攻击策略。
在一个演示中，这个自动化攻击者成功诱导 AI 代理将一封“外出办公”的邮件草稿变成了“辞职信”。在安全更新后，系统已能成功检测到此类注入并向用户发出警报。
共同的责任：用户如何降低风险
安全专家指出，AI 系统的风险可以通过一个简单的公式来理解：自主性乘以访问权限。AI 浏览器的挑战在于，它们通常拥有非常高的访问权限（如访问用户的电子邮件和文档），同时具备中等程度的自主性。
为了管理这种风险，OpenAI 向用户提出了几项建议：
- 限制访问权限： 不要给予 AI 代理过度的授权。例如，与其让它“处理收件箱里所有需要处理的事”，不如给出更具体的指令。
- 确认关键操作： Atlas 浏览器被训练为在执行发送信息或进行支付等敏感操作前，必须获得用户的确认。
- 明确指令： 宽泛的指令会让 AI 代理更容易受到隐藏恶意内容的影响。
风险与价值的权衡
尽管 OpenAI 将保护用户安全作为首要任务，但一些专家对当前阶段使用 AI 浏览器的投资回报率提出了质疑。
“对于大多数日常用例，代理浏览器尚未提供足够的价值来证明其当前的风险状况是合理的。”
根本问题在于，这些工具的强大功能恰恰源于它们能够访问用户的敏感数据（如电子邮件、支付信息），而这本身就带来了巨大的风险。目前来看，这种风险与收益之间的平衡仍然是一个需要用户谨慎权衡的现实问题。