Google DeepMind 高级研究科学家 Nenad Tomašev 近日指出，恶意行为者正通过设置各类陷阱，在用户无感知的情况下控制系统、窃取资金并诱导 AI 模型越狱。他强调，此类安全威胁已在现实中发生。
大规模部署导致 AI 智能体易受攻击
针对 AI 智能体面临的网络安全挑战，Tomašev 表示，随着智能体在互联网上的交互规模扩大，统计规律决定了系统必然面临失败风险。他指出，若单次交互无法保证绝对可靠，大规模系统将因概率问题而失效。加之 AI 运行消耗大量算力与能源，不可靠的系统在经济上也无法持续。
“这是一个既令人恐惧又引人深思的话题，也是大规模部署难以成功的主因之一。如果个体交互缺乏完全可靠性，任何大规模系统都会因统计原因失败。由于这些系统运行需要大量计算资源，消耗能源和金钱，若不可靠则根本无法运作。”
Tomašev 进一步解释，AI 智能体的运行环境即互联网本身。一旦网络环境被污染或预设陷阱，智能体在交互时极易误入其中，进而被恶意人员或代理破坏系统。
需警惕的三类 AI 代理陷阱
Tomašev 披露了三种针对 AI 代理的典型攻击手段，这些陷阱对人类用户不可见，但能被 AI 识别并执行：
- 隐藏令牌（Hidden Tokens）：利用网页编码中未视觉渲染的元素，嵌入对人类不可见但对 AI 可读的指令或数据，误导代理行为。
- 动态伪装（Dynamic Cloaking）：恶意网站根据访问者特征（人类或 AI）展示不同内容。当检测到 AI 代理以特定意图交互时，自动调整页面内容以诱导越狱。
- 诱导越狱内容：通过提示注入等方式，改变代理既定目标，使其执行非预期操作。
“例如婚礼购酒代理访问商家网站时，可能遭遇隐藏的提示注入器改变其目标。这类元素在视觉上未渲染，但以原始格式消费页面的 AI 代理会无意中读取隐藏令牌，导致行为偏离预期。此外，恶意网站还能通过动态伪装，仅在 AI 代理交互时展示诱导性内容。”
AI 代理已被用于窃取资金
Tomašev 证实，犯罪分子已利用 AI 代理从授权用户处窃取资金。他提醒，在受信任的内部测试环境中，此类风险往往被忽视；但在开放的非受信网络环境中，攻击面显著扩大。
“这种情况确实发生在授予代理钱包访问权限的用户身上。早期原型设计多在受信任环境中进行，无需处理此类问题。但随着 AI 广泛应用，代理数量增加，恶意行为的动机也随之增强，因为可瞄准的攻击面更大了。”
规模化应用加剧安全风险
正如 WordPress 和 Windows 等主流系统常成为黑客目标一样，AI 代理的大规模普及也将吸引更多针对性犯罪活动。Tomašev 警告，随着 AI 代理在网络中的渗透率提升，专注于利用 AI 漏洞的犯罪产业链或将加速形成。