安全廠商 LayerX 近日披露了一種名爲“字體渲染”的新型攻擊手法。黑客利用自定義字體和 CSS 樣式巧妙僞裝惡意指令，已成功誤導 ChatGPT、Claude 及 Copilot 等多款主流 AI 工具，使其向用戶提供錯誤的安全性建議。

image.png

該攻擊的核心在於利用 AI 抓取底層文本與用戶看到渲染畫面的差異:

  • 字形映射篡改:攻擊者修改自定義字體文件，將正常的字母渲染成亂碼，同時將隱藏的惡意載荷（如高危命令）渲染成看似無害的可讀指令。

  • CSS 視覺控制:利用極小字號或特定顏色隱藏網頁中的真實文本，並放大惡意載荷。

  • 後果:AI 助手讀取到的是經過僞裝的無害內容，從而得出“安全”的評估結論;而用戶在瀏覽器中看到的卻是黑客精心構造的危險指令。

LayerX 展示了一個以遊戲彩蛋爲誘餌的釣魚頁面，誘導用戶運行一段代碼。當受害者要求 AI 評估該代碼時，由於 AI 無法識別隱藏的惡意邏輯，會給出“絕對安全”的答覆，最終導致受害者在本地設備執行反向 shell 等高危命令。

LayerX 於2025年12月向相關廠商報告了該漏洞，但響應情況大相徑庭:

  • 微軟:唯一一家積極響應並已完全修復該漏洞的企業。

  • 谷歌及其他廠商:谷歌最初將其定爲高危，後以“過度依賴社會工程學”爲由降級並關閉處理;多數廠商則認爲這超出了其安全防範範圍。

安全專家提醒，用戶在處理 AI 評估的網頁腳本時仍需保持警惕，不可完全依賴 AI 的合規性審查。