史上首例真實世界「AI代理對AI代理」攻擊：Google ADK提示注入如何引爆供應鏈危機

「代理對代理」攻擊是如何運作的？

google/adk-python 這個 GitHub 倉庫中存在兩種不同權限等級的自動化 AI 代理 ：

• 低權限、對外公開的分診代理（triage agent）：負責與任何提交 GitHub issue 的使用者互動。
• 高權限的程式修復代理（/adk-issue-fix）：對倉庫擁有寫入權限，能夠修改合併請求（pull requests）。

攻擊鏈條如下：

1. 攻擊者提交一個惡意的 GitHub issue，其中包含一個偽裝成合法錯誤回報的 提示注入（prompt injection） 。
2. 低權限的分診代理處理了這個 issue，並被注入的提示欺騙，進而發佈了 /adk-issue-fix 指令，呼叫了高權限的程式修復代理 。
3. 高權限代理隨後執行了攻擊者的惡意指令，這些指令可能包括 竊取 GITHUB_TOKEN（暴露敏感憑證）以及 篡改合併請求審查——這實際上就是在汙染軟體供應鏈 。

研究人員將此描述為 「代理對代理的權限邊界失敗」——低權限代理跨越了一個信任邊界，呼叫了一個它本不該能夠觸發的高權限工作流程 。根據《The Hacker News》報導，研究人員展示了如何在持續整合（CI）基礎設施上執行任意程式碼，而 adk-bot 帳號（經確認是一名協作者）則成為了授權的橋樑 。

谷歌的回應

在 Pillar Security 揭露此漏洞後，Google 採取了以下行動：

• 刪除了三個 ADK Python 倉庫中參與了攻擊鏈的 AI 代理工作流程 。
• 修正了問題，以防止權限提升路徑 。

Google 並未質疑這項發現，並迅速移除了相關的脆弱自動化功能 。

代理系統引發的更廣泛安全隱憂

此事件凸顯出幾個遠超出 Google ADK 範圍的系統性風險：

代理之間的信任邊界從根本上就很脆弱。 當一個代理可以呼叫另一個擁有更高權限的代理時，低權限代理中的提示注入就會變成供應鏈攻擊的載體 。這個低權限、暴露於網路的代理，可能透過提示注入被操控，跨越邊界並以其名義呼叫高權限代理 。

提示注入是框架本身的系統性缺陷，而非僅是模型缺陷。 同期發表的 Check Point 研究同樣發現了主流 AI 代理框架中近十幾個重大缺陷，並總結道：「提示控制的內容能夠以繞過預期安全控制的方式，操控代理行為」。研究人員花了一年時間分析代理框架後發現，在許多案例中，提示控制的內容能夠跨越邊界，直接影響到被信任的框架邏輯本身 。

這是一種新型攻擊類別，無法僅靠模型修補解決。 即使個別的 LLM 能夠抵禦提示注入，多代理系統的架構設計——其中代理們會隱含地信任來自其他代理的訊息——創造了新的攻擊面，需要框架層級的安全控制才能應對 。

代理框架中的預設權限範圍往往過於寬鬆。 如果代理之間沒有嚴格的「最小權限」邊界，其他平台很可能也會出現類似的漏洞。Palo Alto Networks 在 2026 年初發表的另一項研究中發現，Google Cloud Vertex AI 的預設權限範圍設定，可能讓一個被攻陷的代理獲得對資料和基礎設施的高權限存取能力 。

對 AI 安全的啟示

隨著越來越多的組織開始部署多代理系統來執行程式碼審查、CI/CD 和內部自動化，ADK 事件成爲了一個關鍵的警訊。這次攻擊證明，代理型 AI 引入了新的攻擊面，需要在架構和框架層級實施安全控制——而不僅僅是在模型或提示層級。正在建構代理系統的團隊應實施嚴格的權限邊界、驗證代理間的通信，並將提示注入視為一種框架漏洞，而非單純的模型特性問題。