CodeWall 自主智能体攻破麦肯锡 AI：2 小时拿下数千万聊天读写权

如果全球最懂企业战略和数字化转型的咨询巨头，连自家 AI 的大门都没关严实，这给所有急着上马 AI 的公司敲了一记闷棍。

网络安全初创公司 CodeWall 公开了一份安全研究报告。他们的自主攻击智能体在没有凭据、没有内幕信息、没有任何人工干预的情况下，只靠一个域名，在不到 2 小时内攻破了麦肯锡的内部 AI 平台「Lilli」，拿到了生产数据库的完整读写权限。

22 个无鉴权接口，和一次最原始的 SQL 注入

麦肯锡在 2023 年上线了 Lilli，名字取自该机构 1945 年雇用的首位女性专业人士。这个平台服务其 4.3 万多名员工，全公司有超过 70% 的人在用它检索十万余份内部文档、梳理客户报告，每月处理的提示词超过 50 万条。

CodeWall 的 AI 智能体先绘制了目标系统的暴露面，结果发现 Lilli 的 API 文档直接公开暴露在外。整个文档列出了 200 多个端点，绝大多数需要身份验证，但有 22 个完全不设防。

致命漏洞就藏在这 22 个无鉴权接口中的一个。该接口负责把用户的搜索记录写入数据库，开发人员对输入的值做了参数化处理，却把 JSON 对象的键名直接拼进了 SQL 语句。

传统的漏洞扫描器（比如 OWASP ZAP）并没有发现这个隐患。但 CodeWall 的智能体在数据库报错信息里看到了被原样返回的键名，判定这里存在 SQL 注入。随后它跑了 15 次盲注测试，逐渐拼凑出查询结构。随着首个真实员工账号信息弹出，智能体的思维链日志里甚至打出了「WOW!」；当它摸清数据规模时，给出的评价是「毁灭性的」。

4650 万条明文聊天，连系统提示词都在里面

智能体拖出的数据库内容，几乎是麦肯锡几十年的智力资产家底。其中包括 4650 万条聊天记录，涵盖顾问们日常讨论的企业战略、并购交易和客户财务细节，全以明文存储；72.8 万个机密文件，包括 19.2 万个 PDF、9.3 万份 Excel 表格和 9.3 万个 PPT。

此外，数据库里还躺着 5.7 万个用户账号、38.4 万个 AI 助手配置，以及 368 万条 RAG 文档切片。智能体甚至串联了未授权访问与越权漏洞，直接调阅了顾问们的实时搜索记录。

但最危险的不是数据被看光，而是这个数据库具有写权限。Lilli 的 95 个系统提示词和模型配置，就存在同一个数据库里。

这意味着攻击者根本不需要碰代码或触发部署流水线，只要一条 HTTP 请求包裹着 SQL UPDATE 语句，就能神不知鬼不觉地篡改 AI 的底层指令。攻击者可以悄悄毒化财务模型的输出逻辑，可以命令 AI 在回复中夹带机密信息，也可以直接剥离安全防护栏。AI 会继续以平常的口吻给出建议，而麦肯锡的顾问们根本不会察觉自己拿到的建议已经被动了手脚。

麦肯锡在 2 月 28 日收到漏洞报告后动作迅速，于 3 月 2 日封堵了未鉴权接口并关闭了公开文档，第三方调查确认在此之前未被外部黑客利用。

为什么重要

这起事件最耐人寻味的地方在于反差。出事的不是三四个工程师凑出来的创业团队，而是麦肯锡这种每年在安全合规上砸重金的顶级咨询机构；踩雷的也不是什么新型的大模型对抗攻击，而是有三十年历史的传统 SQL 注入。

我们认为，这暴露出绝大多数企业在追赶 AI 浪潮时的通病：大家往往把安全精力放在防提示词注入、防越狱这类 AI 特有的新概念上，却在接口鉴权和数据层防护等基础工程上掉了链子。企业急着让大模型接入核心业务，把成千上万份涉密文档一股脑喂给 RAG，实际上是把散落在各个部门的机密资产打包放进了一个「高价值靶子」里。

另一个值得警惕的变化是攻击方。过去渗透测试要靠经验丰富的白帽黑客花几天甚至几周去摸索，而 CodeWall 证明了自主 AI 代理能以机器速度完成枚举、推理和链式突破。防御者面对的不再是慢节奏的排查，而是不知疲倦、能把细微报错逻辑串联成致命攻击链的算法。

如果一家公司正在内部搭建集中式 AI 知识库，现在必须回头检查：你的系统提示词是不是和业务数据混存？API 接口是不是真的都有鉴权？别等到 AI 助理成了内鬼，才想起最基础的代码审计还没做。