不止文本！研究人員發現AI系統新漏洞，圖像重採樣竟成攻擊入口

近日，網絡安全公司Trail of Bits的研究人員Kikimora Morozova和Suha Sabi Hussain公佈了一種新型攻擊方法。該攻擊利用圖像重採樣的技術特性，在人眼不可見的圖像中注入惡意指令，從而劫持大型語言模型（LLM）並竊取用戶數據。

該攻擊的核心在於圖像重採樣攻擊。當用戶上傳圖片到AI系統時，系統通常會爲了效率和成本而自動降低圖片分辨率。惡意圖片正是利用這一過程:它在全分辨率下看似正常，但在經過雙三次（bicubic）等重採樣算法處理後，隱藏在圖像特定區域的惡意指令會以可見的文本形式顯現出來。

研究人員在實驗中證實，這種攻擊手段能夠成功滲透多個主流AI系統，包括Google Gemini CLI、Vertex AI Studio、Google Assistant以及Genspark。在一次Gemini CLI的測試中，攻擊者成功將用戶的Google日曆數據泄露至一個外部郵箱地址，而無需用戶的任何確認。

Trail of Bits指出，儘管攻擊需要根據每個LLM使用的特定重採樣算法進行調整，但其攻擊媒介的廣泛性意味着更多未被測試的AI工具也可能存在風險。爲幫助安全社區理解和防禦此類攻擊，研究人員已發佈了一款名爲Anamorpher的開源工具，用於創建此類惡意圖片。

針對此漏洞，研究人員提出了多項防禦建議:尺寸限制:AI系統應對用戶上傳的圖片實施嚴格的尺寸限制。結果預覽:在對圖像進行重採樣後，向用戶提供即將傳遞給LLM的結果預覽。明確確認:對於涉及敏感工具調用的指令（如數據導出），系統應要求用戶進行明確確認。

研究人員強調，最根本的防禦在於實施更安全的系統設計模式，以從根本上抵禦此類即時注入（prompt injection）攻擊。