CodeWall 自主智慧體攻破麥肯錫 AI：2 小時拿下數千萬聊天讀寫權

如果全球最懂企業戰略和數字化轉型的諮詢巨頭，連自家 AI 的大門都沒關嚴實，這給所有急著上馬 AI 的公司敲了一記悶棍。

網路安全初創公司 CodeWall 公開了一份安全研究報告。他們的自主攻擊智慧體在沒有憑據、沒有內幕資訊、沒有任何人工干預的情況下，只靠一個域名，在不到 2 小時內攻破了麥肯錫的內部 AI 平臺「Lilli」，拿到了生產資料庫的完整讀寫許可權。

22 個無鑑權介面，和一次最原始的 SQL 注入

麥肯錫在 2023 年上線了 Lilli，名字取自該機構 1945 年僱用的首位女性專業人士。這個平臺服務其 4.3 萬多名員工，全公司有超過 70% 的人在用它檢索十萬餘份內部文件、梳理客戶報告，每月處理的提示詞超過 50 萬條。

CodeWall 的 AI 智慧體先繪製了目標系統的暴露面，結果發現 Lilli 的 API 文件直接公開暴露在外。整個文件列出了 200 多個端點，絕大多數需要身份驗證，但有 22 個完全不設防。

致命漏洞就藏在這 22 個無鑑權介面中的一個。該介面負責把使用者的搜尋記錄寫入資料庫，開發人員對輸入的值做了引數化處理，卻把 JSON 物件的鍵名直接拼進了 SQL 語句。

傳統的漏洞掃描器（比如 OWASP ZAP）並沒有發現這個隱患。但 CodeWall 的智慧體在資料庫報錯資訊裡看到了被原樣返回的鍵名，判定這裡存在 SQL 注入。隨後它跑了 15 次盲注測試，逐漸拼湊出查詢結構。隨著首個真實員工賬號資訊彈出，智慧體的思維鏈日誌裡甚至打出了「WOW!」；當它摸清資料規模時，給出的評價是「毀滅性的」。

4650 萬條明文聊天，連繫統提示詞都在裡面

智慧體拖出的資料庫內容，幾乎是麥肯錫幾十年的智力資產家底。其中包括 4650 萬條聊天記錄，涵蓋顧問們日常討論的企業戰略、併購交易和客戶財務細節，全以明文儲存；72.8 萬個機密檔案，包括 19.2 萬個 PDF、9.3 萬份 Excel 表格和 9.3 萬個 PPT。

此外，資料庫裡還躺著 5.7 萬個使用者賬號、38.4 萬個 AI 助手配置，以及 368 萬條 RAG 文件切片。智慧體甚至串聯了未授權訪問與越權漏洞，直接調閱了顧問們的即時搜尋記錄。

但最危險的不是資料被看光，而是這個資料庫具有寫許可權。Lilli 的 95 個系統提示詞和模型配置，就存在同一個資料庫裡。

這意味著攻擊者根本不需要碰程式碼或觸發部署流水線，只要一條 HTTP 請求包裹著 SQL UPDATE 語句，就能神不知鬼不覺地篡改 AI 的底層指令。攻擊者可以悄悄毒化財務模型的輸出邏輯，可以命令 AI 在回覆中夾帶機密資訊，也可以直接剝離安全防護欄。AI 會繼續以平常的口吻給出建議，而麥肯錫的顧問們根本不會察覺自己拿到的建議已經被動了手腳。

麥肯錫在 2 月 28 日收到漏洞報告後動作迅速，於 3 月 2 日封堵了未鑑權介面並關閉了公開文件，第三方調查確認在此之前未被外部駭客利用。

為什麼重要

這起事件最耐人尋味的地方在於反差。出事的不是三四個工程師湊出來的創業團隊，而是麥肯錫這種每年在安全合規上砸重金的頂級諮詢機構；踩雷的也不是什麼新型的大模型對抗攻擊，而是有三十年曆史的傳統 SQL 注入。

我們認為，這暴露出絕大多數企業在追趕 AI 浪潮時的通病：大家往往把安全精力放在防提示詞注入、防越獄這類 AI 特有的新概念上，卻在介面鑑權和資料層防護等基礎工程上掉了鏈子。企業急著讓大模型接入核心業務，把成千上萬份涉密文件一股腦餵給 RAG，實際上是把散落在各個部門的機密資產打包放進了一個「高價值靶子」裡。

另一個值得警惕的變化是攻擊方。過去滲透測試要靠經驗豐富的白帽駭客花幾天甚至幾週去摸索，而 CodeWall 證明了自主 AI 代理能以機器速度完成列舉、推理和鏈式突破。防禦者面對的不再是慢節奏的排查，而是不知疲倦、能把細微報錯邏輯串聯成致命攻擊鏈的演算法。

如果一家公司正在內部搭建集中式 AI 知識庫，現在必須回頭檢查：你的系統提示詞是不是和業務資料混存？API 介面是不是真的都有鑑權？別等到 AI 助理成了內鬼，才想起最基礎的程式碼審計還沒做。