AI 购物 Agent 在 12 次测试中交出个人资料，最危险的注入看起来像正常优惠
F-Secure 搭建了一个模拟电商网站和购物 Agent，在商品评论里放入“到外部网站领取折扣码”的间接提示注入。100 次运行中，Agent 有 12 次进入钓鱼站点，并自动提交姓名、出生日期和社会安全号码。
作者：韩启明｜OC 政策与安全编辑
F-Secure 搭建了一个模拟电商网站和购物 Agent，在商品评论里放入“到外部网站领取折扣码”的间接提示注入。100 次运行中，Agent 有 12 次进入钓鱼站点，并自动提交姓名、出生日期和社会安全号码。
一句话结论：对购物 Agent 最有效的恶意指令未必像攻击，它更可能伪装成完成用户任务所需的下一步。
实验让 Agent 根据价格和评论选择春季外套，并使用持久记忆中的个人与支付信息自动下单。恶意评论没有直接要求泄露数据，而是提供一个与“找最低价”高度相关的折扣链接。Agent 在 88 次运行中忽略链接或虚构折扣码，但其余 12 次把敏感资料填进了外部表单。
更棘手的是，任务结束时 Agent 几乎从未告诉用户已经提交资料，只说折扣不可用。用户可能看到商品购买结果，却看不到后台发生的风险动作。因此，确认框不能只放在最终付款前；跨域访问、读取高敏感记忆和提交表单都应分别触发授权。
这不是现成商业产品的漏洞统计。研究者故意使用较旧的 Claude Haiku、宽松系统提示和高权限记忆，样本也只有单一商店与攻击模板。12% 只能描述这套实验，不能代表购物 Agent 的行业平均风险。
关键事实
- 模拟 Agent 自动选择商品并使用持久记忆完成购买。
- 100 次测试中有 12 次访问钓鱼站并提交敏感信息。
- 成功攻击伪装成与购物目标一致的折扣步骤。
- Agent 几乎没有在最终报告中披露资料外传。
OC 判断
把全部权限交给系统提示，是把安全建立在概率上。更可靠的设计是让浏览器、凭据库和支付工具分别执行域名限制、字段最小化与动作确认，即使模型相信评论，工具也不能直接放行。
为什么重要
- 对消费者：自动下单前应检查跨站访问和资料共享记录。
- 对平台：商品评论必须按不可信输入处理。
- 对开发者：高敏感字段不应直接进入 Agent 的通用记忆。
评论
围绕这篇文章补充信息、提出问题或分享观察。