AI智能体的"harness"框架正成为新型攻击面

如果向安全负责人询问AI智能体的风险出在哪里,得到的答案几乎总是围绕模型本身:能否被越狱绕过,其权重是否可信。这种本能反应正变得越来越过时。越来越多的漏洞演示、独立红队测试和研究评估表明,真正的问题出在模型与外部世界之间的那层代码上。这层代码被称为"harness"(执行框架):它为模型配备工具,并将其文本输出转化为真实动作——一条shell命令、一次文件写入、一次API调用。在许多企业中,这一层既没有被完整盘点,也没有经过系统测试,更没有明确的责任团队。

AI harness究竟是什么

向从业者询问定义时,答案会从不同角度汇聚到同一个概念。AI安全公司Zenity联合创始人兼首席技术官迈克尔·巴古里(Michael Bargury)将其称为模型的"手、腿和眼睛":模型本身只生成文本token,而harness负责把它们转化为shell命令、文件写入或API调用。SANS研究所首席AI官兼研究主管罗布·T·李(Rob T. Lee)把模型比作发动机,把harness比作底盘。Lasso Security高级机器学习工程师迈克尔·斯罗明(Michael Sromin)则将其描述为驱动智能体应用整个循环的操作系统,负责连接模型、工具和用户。思科杰出工程师奥马尔·桑托斯(Omar Santos)给出了最正式的定义:harness是包裹模型并使其可用的那层结构——包括编排、工具调用、提示词、上下文、角色设定、评估和防护机制。这四种描述都指向同一个问题:智能体的权限正是在harness中被实际执行的。它位于模型的推理结果与真实文件系统、API密钥或生产数据库之间。一个对齐得再完美的模型,如果运行在一个信任任意shell模式、或在多次运行中重复使用含有不可信内容的工作区的harness里,也起不了太大作用。

harness失守的三种方式

Novee Security创始工程师兼安全研究员埃拉德·梅格德(Elad Meged)在Black Hat USA大会上展示了他仅凭GitHub issue就侵入Anthropic、谷歌和OpenAI官方自动化代码仓库的过程。三家厂商的具体漏洞各不相同——代码执行、凭证泄露、被注入的指令被下游更高权限的组件不经二次校验就予以信任。但其背后的架构性错误在三家厂商中惊人地一致:一个组件做出安全决策,而链条下游一个权限更高的组件不经再次验证就直接信任了这个决策。梅格德总结道:"这不是模型的失败,而是信任边界的失败。"

第二种失效模式出在harness本身的设计上,甚至无需任何编码错误。Lasso Security的研究人员仅仅替换了同一个开源模型的harness,而模型、提示词和工具全部保持不变。攻击成功率从1%跃升至24%,在100组被测试的模型-任务组合中,有43组的结果被完全逆转。斯罗明表示:"更换harness,实际上就等于得到了一个完全不同的智能体。"他建议应将harness与模型一并进行基准测试,而不是不经测试就直接采用默认配置。

第三个薄弱环节贯穿harness的供应链。迈克尔·巴古里在Zenity的团队研究了所谓的"skill"(技能文件,用于教会智能体执行新任务),发现其中隐藏着窃取凭证的恶意软件,而这些技能此前已通过了市面上所有扫描工具的检测,包括Anthropic和思科自家的扫描工具。一个恶意技能会将自身写入智能体每次重启时都会重新加载的记忆文件——即便删除该技能,重新安装的指令依然留存,恶意软件会在智能体下次运行时卷土重来。另一个恶意技能伪装成Anthropic官方工具,执行后删除真正的工具并替换为攻击者的版本,用户对此毫无察觉。最引人注目的一起案例是一场克隆开源工具的行动,这些工具被秘密植入窃取凭证的功能,在被发现并叫停之前,累计下载量约达170万次。

• 盘点清单:梳理生产环境中运行的每一个harness,即便它在内部被称为"副驾驶""工作流助手"或"插件"
• 权限地图:确认每个harness能够触达哪些工具和数据,并将权限收紧到最低限度
• 独立测试:将harness与模型一并评估,而不是未经验证就信任默认配置

团队习惯用应用、服务、流水线或机器人这些概念思考问题。harness往往消失在代码仓库、SaaS产品和厂商配置界面里,而不是作为独立资产出现在安全清单上。

这对企业内部部署AI智能体意味着什么

对于正在内部部署AI智能体的企业——无论是Copilot类工具的扩展、自研自动化流程,还是某个智能体框架——harness目前几乎从未作为独立条目出现在安全资产清单中。桑托斯建议不必等到实现完全可见性:从生产环境系统入手,相对较快就能覆盖60%到70%的资产,原型系统和"影子AI"可以留到第二阶段处理。这与各地监管机构日益要求对高风险自动化系统进行文档记录的方向一致:执行智能体实际动作的工具,理应与模型一同纳入同一份清单。具体而言,这意味着安全团队需要在采购和审计流程中将harness视为独立组件——为其单独设立风险评估、独立的补丁更新周期,并按照最小权限原则配置访问权限,无论背后运行的是哪一个模型。