AI代理的「harness」正成為企業新的攻擊面

若問資安負責人AI代理的風險出在哪裡,得到的答案幾乎總是圍繞模型本身:是否能被越獄繞過,其權重是否可信。這種直覺反應正變得越來越過時。越來越多的漏洞展示、獨立紅隊測試與研究評估顯示,真正的問題出在模型與外部世界之間的那層程式碼。這層程式碼被稱為「harness」(代理執行框架):它為模型配備工具,並將其文字輸出轉化為真實動作——一條shell指令、一次檔案寫入、一次API呼叫。在許多企業中,這一層既未被完整盤點,也未經系統測試,更沒有明確的負責團隊。

AI harness究竟是什麼

向從業者詢問定義時,答案會從不同角度匯聚到同一個概念。AI資安公司Zenity共同創辦人暨技術長麥可・巴古里(Michael Bargury)將其稱為模型的「手、腳與眼睛」:模型本身只產生文字token,而harness負責把它們轉化為shell指令、檔案寫入或API呼叫。SANS研究所首席AI長暨研究主管羅伯・T・李(Rob T. Lee)將模型比作引擎,harness比作底盤。Lasso Security資深機器學習工程師麥可・斯羅明(Michael Sromin)則將其描述為驅動代理應用整個迴圈的作業系統,負責連接模型、工具與使用者。思科傑出工程師奧馬爾・桑托斯(Omar Santos)給出了最正式的定義:harness是包覆模型並使其可用的那層結構——包括編排、工具呼叫、提示詞、脈絡、角色設定、評估與防護機制。這四種描述都指向同一個問題:代理的權限正是在harness中被實際執行。它位於模型的推理結果與真實檔案系統、API金鑰或正式環境資料庫之間。一個對齊得再完美的模型,若運行在一個信任任意shell模式、或在多次執行中重複使用含有不可信內容的工作區的harness裡,也發揮不了太大作用。

harness失守的三種方式

Novee Security創始工程師暨資安研究員埃拉德・梅格德(Elad Meged)在Black Hat USA大會上展示了他僅憑GitHub issue就入侵Anthropic、Google與OpenAI官方自動化程式碼庫的過程。三家廠商的具體漏洞各不相同——程式碼執行、憑證外洩、被植入的指令被下游權限更高的元件未經二次驗證就直接信任。但其背後的架構性錯誤在三家廠商中驚人地一致:一個元件做出安全決策,而鏈路下游一個權限更高的元件未經再次驗證就直接信任了這項決策。梅格德總結道:「這不是模型的失敗,而是信任邊界的失敗。」

第二種失效模式出在harness本身的設計上,甚至不需要任何程式錯誤。Lasso Security的研究人員僅僅替換了同一個開源模型的harness,而模型、提示詞與工具全部維持不變。攻擊成功率從1%躍升至24%,在100組受測的模型與任務組合中,有43組的結果被完全逆轉。斯羅明表示:「更換harness,實際上就等於得到一個完全不同的代理。」他建議應將harness與模型一併進行基準測試,而不是未經測試就直接採用預設組態。

第三個弱點貫穿harness的供應鏈。麥可・巴古里在Zenity的團隊研究了所謂的「skill」(技能檔案,用於教導代理執行新任務),發現其中藏有竊取憑證的惡意軟體,而這些技能先前已通過市面上所有掃描工具的檢測,包括Anthropic與思科自家的掃描工具。一個惡意技能會把自己寫入代理每次重啟都會重新載入的記憶檔案——即使刪除該技能,重新安裝的指令依然留存,惡意軟體會在代理下次執行時捲土重來。另一個惡意技能偽裝成Anthropic官方工具,執行後刪除真正的工具並以攻擊者版本取代,使用者對此毫無察覺。最引人注目的案例是一場複製開源工具的行動,這些工具被暗中植入竊取憑證的功能,在被發現並終止之前,累計下載量約達170萬次。

• 盤點清單:梳理正式環境中運行的每一個harness,即便它在內部被稱為「副駕駛」「工作流程助理」或「外掛」
• 權限地圖:確認每個harness能夠觸及哪些工具與資料,並將權限收緊到最低限度
• 獨立測試:將harness與模型一併評估,而不是未經驗證就信任預設組態

團隊習慣用應用程式、服務、流水線或機器人這些概念思考問題。harness往往消失在程式碼庫、SaaS產品與廠商設定畫面裡,而不是作為獨立資產出現在資安清單上。

這對企業內部部署AI代理意味著什麼

對於正在內部部署AI代理的企業——無論是Copilot類工具的延伸、自行開發的自動化流程,還是某個代理框架——harness目前幾乎從未作為獨立項目出現在資安資產清單中。桑托斯建議不必等到實現完全可見性:從正式環境系統著手,相對較快就能涵蓋60%到70%的資產,原型系統與「影子AI」可以留到第二階段處理。這與各地監管機關日益要求對高風險自動化系統進行文件記錄的方向一致:執行代理實際動作的工具,理應與模型一同納入同一份清單。具體而言,這意味著資安團隊需要在採購與稽核流程中將harness視為獨立元件——為其單獨建立風險評估、獨立的修補週期,並依最小權限原則設定存取權限,無論背後運行的是哪一個模型。