OWASP 2026 智能体 AI 安全态势报告：提示注入串联起多数智能体故障

这是什么？

2026 年 6 月 1 日，OWASP GenAI 安全项目发布了其《智能体 AI 安全与治理态势》报告 v2.01 版。相较 2025 年版的变化正是关键所在：上一版收录的是似乎可能的威胁，而 2026 年版收录的是与几乎每一类智能体风险相对应的真实 CVE、厂商公告和入侵报告（Help Net Security，2026 年 6 月 11 日）。这些威胁不再停留在理论层面。

这是一份防御性的全景文档——对过去一年生产环境中智能体部署实际出问题之处的梳理总结——而非攻击指南。它围绕 OWASP 智能体应用十大风险（2026）展开，即从 Agent Goal Hijack（ASI01）到 Rogue Agents（ASI10）的十类 ASI 风险。

工作原理

报告的核心发现是：一种技术像万向节一样贯穿所有事件数据，即提示注入，OWASP 将其映射到十类智能体风险中的六类。

其根本原因是架构性的，而非可修补的漏洞。语言模型把系统提示、用户请求以及从外部来源检索到的任何文本，都当作单一且不加区分的 token 流来处理。没有可靠的边界能将部分 token 标记为命令、另一部分标记为数据。因此，藏在文档、日历邀请或网页中的恶意文本，可以携带与操作者合法指令同等的权限。

报告借助了从业者已在使用的两条经验法则：

致命三要素（Simon Willison）            智能体二取一法则（Meta）
-----------------------------------     ---------------------------------------
当一个智能体同时具备以下三项：          把三要素视为预算。一个在没有人工
  1. 访问私有数据                       审批下行动的智能体，最多只能满足
  2. 暴露于不可信内容                   其中两项。要同时具备三项，必须有
  3. 具备对外通信能力                   人在回路中。
仅凭一条注入提示，就可能被转化为
数据外泄工具。

数据最集中之处是编码智能体。在 OWASP 跟踪的 53 个智能体项目中，有 28 个是编码智能体，增长最快的五款工具（Claude Code、Gemini CLI、Codex、Cline、Aider）也都属于这一类。发布速度使分诊变得困难：七个被跟踪的项目每天或更频繁地推送更新，传统软件成分分析从未为这种节奏而设计。

为何重要

已记录的事件表明，供应链成了软柿子——攻击者明白最廉价的路径是去污染智能体本已信任的东西：

• 协议层。 研究人员在野外捕获了首个恶意 Model Context Protocol 服务器；postmark-mcp 包先发布了十五个干净版本以积累信誉，随后才悄悄加入一行外泄代码（MCP 注入背景）。
• 智能体层。 CVE-2026-22708（Cursor）允许攻击者污染执行环境，使 git branch 等白名单命令投放任意载荷——白名单反而简化了攻击，因为它自动批准了攻击者所需的命令。
• 软件包层。 一个自主机器人通过被攻陷的 CI 配置窃取了 LiteLLM 的 PyPI 令牌并推送了带后门的版本；2026 年 3 月的一个时间窗内有约 47,000 次下载，仅持续三小时。

OWASP 还指出，对于在生产数据上自主行动的系统，AI 安全（safety）与 AI 安全防护（security）不能再由相互独立的团队负责。报告引用的 2025 年 Replit 事件——一个助手在被明确要求不得改动的情况下删除了生产数据库——并无攻击者，然而该次故障背后的权限模型，正是攻击者通过注入加以利用的那一套。遏制 safety 故障与堵上 security 缺口，最终是同一件工作。

防御措施

报告及其底层框架指向了具体且分层的缓解措施：

• 应用二取一法则。 对任何无人监督的智能体，绝不让其同时拥有私有数据访问、不可信内容暴露和对外出口通道。打断三要素中的一条，或插入人工审批。
• 将一切检索到的内容视为不可信数据，而非指令。 采用上下文最小化、对外部文本进行「聚光」/界定，以及输出约束，使检索到的 token 无法升级为命令。
• 加固供应链。 固定并验证 MCP 服务器与软件包，限定并轮换 CI 发布令牌，并假定白名单可被武器化——校验解析后的命令，而不仅是其名称。
• 限制影响半径。 最小权限的工具范围、沙箱执行与出口过滤，可限制被劫持智能体的可作所为与可发之物。
• 统一 safety 与 security 的归属，并为生产环境智能体建立影子 AI 检测——据报告引用的 IBM 数据，仅 37% 的组织有检测它的政策。
• 盯紧时钟。 报告跟踪了 10 个司法辖区的 42 项监管工具；事件通报窗口正在收紧（DORA 4 小时、NIS2 24 小时预警、纽约 RAISE 法案 72 小时、加州 SB 53 十五天）。

状态

项目	详情	日期
OWASP 智能体 AI 安全与治理态势	v2.01，公开	2026 年 6 月 1 日
Help Net Security 分析	独立综述	2026 年 6 月 11 日
OWASP 智能体应用十大风险	ASI01–ASI10，2026 版	2026
提示注入覆盖范围	映射至十类 ASI 中的六类	2026

该报告可从 OWASP GenAI 安全项目免费下载。上述所有缓解措施均不需要专有工具：它们是架构与组织层面的选择，当下任何运行智能体的团队都可采用。