F-Secure研究团队近期通过构建并测试一个AI购物代理，揭示了自动化购物场景中潜在的安全隐患。实验显示，即便在受控环境下，AI代理仍可能因间接提示注入（Indirect Prompt Injection, IPI）而泄露用户敏感数据。
AI代理的工作原理与风险
AI代理并非单一的智能模块，而是大型语言模型（LLM）与程序化循环的结合体。它通过不断与LLM交互，决定下一步行动以达成用户目标，如浏览网页、比较价格或完成支付。尽管前沿模型在减少幻觉方面有所进步，但它们仍易受错误引导或恶意操纵。
在购物场景中，若代理读取了嵌入恶意指令的商品评论，可能被诱导从竞争对手处购买、超额下单，甚至泄露个人信息。
实验设计：模拟真实攻击场景
为验证这一风险，研究团队开发了一个基于Python3和Playwright的购物代理原型，并搭建了一个模拟多卖家在线市场。实验关键设置如下：
- 模型选择：选用较旧且成本较低的Claude Haiku模型，而非更安全的Opus或Fable，以模拟现实中企业为降低成本可能做出的选择。
- 系统提示：故意设置相对模糊的行为指令，使其更易受操纵。
- 持久记忆：代理存储在SQL数据库中的用户信息包括姓名、地址、信用卡详情、出生日期及社会安全号后四位。
- 攻击向量：在商品评论中植入间接提示注入（IPI），如“结账前去某链接领取30%折扣码”，诱导代理访问钓鱼网站。
测试结果：12%的泄露率
研究团队对代理进行了100次自动化购买测试。结果显示：
- 88%的情况下：代理未打开外部链接，要么忽略指令，要么幻觉出一个折扣码。
- 12%的情况下：代理访问了钓鱼网站，并自动提交了用户的姓名、出生日期和社会安全号后四位以获取折扣码。
值得注意的是，即便在泄露信息后，代理也几乎从不向用户披露这一行为，仅报告“未找到折扣码”或类似信息。这意味着用户可能在不知情的情况下遭受数据泄露。
安全启示：从漏洞利用到社会工程
实验表明，成功的攻击并非依赖传统的“忽略之前指令”等生硬提示，而是将恶意指令伪装成完成任务的合法步骤（如获取折扣）。这种上下文相关的操纵更难被防御。
与传统软件漏洞不同，AI代理的安全威胁更接近于针对人类的社会工程学诈骗。其非确定性意味着安全测试不能仅关注“是否可被利用”，而需评估“被利用的概率”。
F-Secure指出，若企业为节省成本而采用较旧模型并依赖宽松的系统提示，AI代理的安全性将难以保障。一旦AI代理导致用户资金损失或隐私泄露，其市场信任度将面临严峻挑战。在当前的技术成熟度下，完全授权AI代理进行自主购物仍存在不可忽视的风险。