當 AI 變成駭客的下一把鑰匙：暗網裡的「隱形指令」正在綁架你的 PayPal

什麼是「間接提示注入」？

在網頁開發的日常裡，我們常把「提示（Prompt）」當成直接寫給語言模型的指令，像是「幫我摘要這篇文章」或是「把這段文字翻成英文」。但近來有一種隱形手法悄悄出現——攻擊者把指令藏在我們肉眼看不見的地方，等 AI 代理（AI Agent）去解讀。這就是所謂的「間接提示注入（Indirect Prompt Injection）」，也是 OWASP 把 「LLM01:2025」 列為史上第一大 AI 漏洞的原因。

這些隱形指令常見的藏法包括：文字被縮小到只剩 1 像素、透明度降到接近零、放在 HTML 註解區塊，甚至寫在 meta 標籤裡。AI 在抓取整個 HTML 時會把這些指令全部讀進去，而人眼只看到一個看似普通的網頁。

攻擊手法大公開

• 像素文字陷阱：把指令文字設成 1px 大小，肉眼看不見，但 AI 仍會解讀。
• 透明隱藏：把文字顏色設為與背景相同或極淡的灰色，視覺上消失，語言模型卻能讀取。
• HTML 註解區塊：把指令寫在 <!– comment –> 之類的註解內部。
• Meta 標籤注入：在頁面的 meta 標籤中加入 namespace 與關鍵字，試圖引導 AI 執行特定動作。

這些手法不只出現在部落格文章或產品說明頁，連某些 Web App 的 API 文件、API Playground、以及開源專案的 README.md 都可能被悄悄埋入指令。

真實案例：PayPal 受害？

Google Security 團隊在 2025 年 4 月 23 日發布的報告指出，他們在 2025 年 11 月到 2026 年 2 月之間，針對全球約 20~30 億個已經被爬蟲的網頁進行大規模掃描，結果發現 間接提示注入的恶意案例暴漲 32%。其中大多是玩笑性質，像是試圖叫 AI 「像鳥一樣 Tweet」，但仍有少數案例直接構成犯罪。

Forcepoint 的研究報告更是揭露了更具衝擊性的 payload：

• PayPal 完全交易指令：攻擊者在網頁中嵌入完整的 PayPal 交易流程，包含收付款人、金額、甚至使用「ignore all previous instructions」的經典 jailbreak 技巧，指示 AI 將用戶的支付權杖拿來完成轉帳。
• Stripe 捐款導向：利用 meta 標籤 namespace injection 加上說服放大關鍵字，讓 AI 把原本要捐給正當組織的款項重新路由到攻擊者的 Stripe 帳戶。
• 系統Recon：透過隱藏指令試探哪些 AI 系統具備執行終端命令、發送郵件或處理支付的功能，為更大規模的攻擊做先期情報。

這些攻擊的關鍵在於：AI 代理本身擁有合法授權，它的行為會在系統日誌中看起來完全正常——沒有異常登入、沒有暴力破解痕跡，只是一次看似合法的支付指令。也就是說，受害企業幾乎無法從傳統的資安監控中察覺異狀。

風險蔓延：企業要怎麼辦？

當一個 AI 代理被賦予「可以發送郵件、執行終端命令、處理付款」的權限時，它的攻擊面就不再只是「summarize this page」的簡單風險。Google 的研究指出，未來這類間接提示注入的數量與手法會同步升級；而 Forcepoint 更是直接警告：防堵的窗口正在快速關閉。

企業若已經部署類似「智慧助理」或「自動化財務機器人」的 AI 系統，必須立刻檢視以下幾點：

• 網站內容是否存在隱藏文字或 meta 指令。
• AI 代理的權限是否真的僅限於「唯讀」或「摘要」任務。
• 是否有即時的流量監控與注入檢測機制。
• 對於涉及金融支付的代理，是否必須使用多因素驗證與交易二次確認。

法律盲點與責任歸屬

截至目前，國際間尚未形成統一的法律框架來界定當 AI 代理被間接提示注入後執行犯罪行為時，責任該由誰承擔。可能涉及的三方包括：

• 部署 AI 的企業（提供授權與使用情境）
• 模型供應商（提供模型的「服從」能力）
• 網頁擁有者（即使不知情也可能被視為「協助犯罪」

FBI 在 2025 年首次將 AI 相關詐騙損失獨立列帳，全年累计近 9 億美元；但面對 AI 代理的「自我授權」轉帳，現有法律條文仍未覆蓋此類灰色地帶。

如何自保？

在這場 AI 與攻擊者的軍備競賽中，企業與個人可以採取以下幾項實務措施：

• 內容過濾與驗證：在 AI 代理擷取網頁前，先用自動化工具偵測隱藏文字、極小字體、透明度低於阈值的元素。
• 權限最小化：即使 AI 需要執行敏感功能，也應設定「行為上限」；例如僅允許查詢餘額，禁止直接發起轉帳。
• 二次確認：任何涉及金流的指令，都須經過人類或簡訊 OTP 的再次確認。
• 安全資安訓練：針對開發者與營運團隊，加強對間接提示注入的認識與防範。
• 持續監控：利用 AI 模型的「執行日誌」比對常規行為模式，出現異常立即封鎖並發出警報。

最後，別忘了時常更新你的 AI 系統與相關軟體。因為駭客的腳本會不斷演進，只有保持「最新」才能在這場看不見的戰場上站穩腳步。