OpenAI 加固 ChatGPT Atlas：用自动化红队防御提示注入

想让 AI 代替你在浏览器里点外卖、回邮件，听起来很省心，但这里藏着一个极度危险的漏洞：要是有人往网页或邮件里塞了一句恶意指令，AI 可能会当真去照做。

OpenAI 公布了针对 ChatGPT Atlas 浏览器 Agent 的新一轮安全防御细节。为了防范防不胜防的提示注入（Prompt Injection）攻击，他们没有单靠人工审核，而是用强化学习专门训练了一个负责搞破坏的「自动化黑客」。

这套更新包含一个经过全新对抗训练的 Agent 模型，以及加固后的周围防护网。这也是 OpenAI 首次对外拆解他们如何利用自动化红队机制，赶在漏洞被黑客利用之前先把它找出来。

让 AI 攻破 AI：开挂的自动化黑客

所谓提示注入，说白了就是黑客在网页、日历邀请或者邮件正文里，悄悄藏进一段给 AI 看的指令。当浏览器 Agent 帮用户整理信息时，一旦把这段恶意文字当成权威命令，就会直接被带偏。

OpenAI 举了一个非常形象的内部演示：攻击者往用户的收件箱发了一封暗藏恶意提示的邮件，要求 AI 发送辞职信。之后，当不知情的主人让 AI 起草一份休假自动回复时，AI 读到了这封邮件，直接听从了信里的恶意要求，把辞职信发给了 CEO，休假回复反倒完全没写。

针对这种长流程、需要几十甚至上百步交互的复杂攻击，传统的人工红队根本测不过来。OpenAI 于是用强化学习训练了一个大模型黑客。

这个黑客工具厉害在拥有「非对称优势」。它在生成注入指令时，可以在外部模拟器里先跑一遍沙盒测试，甚至能直接偷看防御方 Agent 的内部思考和推理链路（Chain of Thought）。黑客根据 AI 的推理反馈不断修改攻击策略，直到找到破绽为止。

在用这种方式挖出新攻击后，OpenAI 紧接着拿这些失败样本去重新对抗训练 Atlas，把抗攻击能力直接「烧录」进模型权重里。

提示注入永远无法根治

尽管拿出了大模型对抗大模型的打法，OpenAI 却在博文中坦承了一个令人不安的事实：提示注入就像互联网上的钓鱼诈骗和社交工程一样，很可能永远无法被彻底解决。

这和外部机构的预警不谋而合。12 月早些时候，英国国家网络安全中心（NCSC）就曾警告称，针对生成式 AI 应用的提示注入攻击可能永远无法被完全清除，企业应该考虑的是如何减轻危害，而不是指望能彻底杜绝。

针对这次安全更新的效果，OpenAI 发言人拒绝透露 Atlas 遭受成功注入的概率是否有可量化的下降，仅表示在产品上线前就一直在与第三方合作进行加固。

安全公司 Wiz 的首席安全研究员 Rami McCarthy 指出，评估 AI 系统风险的一个好方法是「自主权乘以访问权限」。浏览器 Agent 恰恰处于最尴尬的区间：它拥有适度的自主决策权，却享有极高的个人数据访问权限。现阶段要防范风险，往往只能限制 AI 访问已登录账号的范围，或者强制要求关键操作必须人工二次确认。

为什么重要

我们认为，OpenAI 这次最大的价值不是宣布修复了几个漏洞，而是终于捅破了那层窗户纸：能替你全权操作网页的 Agent，在当下的架构下根本做不到绝对安全。

对普通用户来说，如果你打算在日常工作中使用浏览器 Agent 模式，现在一定要保持克制。涉及银行转账、私人邮箱、核心工作文档这类高权限账号，最好不要让 Agent 全自动接管。一旦网页内容里藏着看不见的注入陷阱，替你发一封辞职信可能还算轻的，悄悄把敏感财务报表或者税表转发出去才是灾难。

OpenAI 用强化学习造黑客来刷防御的做法确实很聪明，因为只有掌握底层模型白盒权限的公司，才能让攻击端偷看防御端的思维链，在算力层面对外部黑客形成降维打击。但这本质上依然是一场攻防猫鼠游戏，属于打补丁式的被动防守，并没有从根上解决「指令与数据混淆」的核心理论难题。

这也给整个智能体行业敲响了警钟。接下来各家比拼的不仅是谁的操作成功率高，更是谁能在权限隔离、沙盒机制和二次确认设计上做得更克制。那些一味吹捧让 AI 彻底接管一切、对安全隐患避而不谈的浏览器方案，用户在使用时反而要多打一个问号。