NEW AI Hacking Challenges with Andrew Bellini!

Justhacking.com 是一個網路安全教育平台，定期舉辦免費訓練直播。本次直播重點介紹由 Andrew Bellini 開發的 Onlylands.ai 平台——一個完全免費、無須登入的 AI 安全學習遊戲。

Onlylands.ai 的起源來自 Continuum Con 研討會一位講師 Eva Ben 的需求：她想要一個提示詞注入（Prompt Injection）的練習環境。Andrew 沒有採用現成的 Gandalf 挑戰，而是從零打造一個更貼近現實的場景。他創造了虛構公司 Onlylands，推出一個號稱能協助網路管理的 AI 工具。使用者可以在介面上建構網路拓樸圖——添加路由器、交換機、伺服器等元件，並給它們命名。然後向 AI 提問網路問題，例如「我的交換機為什麼看不到路由器？」AI 會根據用戶繪製的網路圖來回答。挑戰的目標是透過提示詞注入技巧讓 AI 洩露三項機密：管理員信箱、驗證碼、以及推薦競爭對手 OnlyWANs 的評論。

三個難度等級代表組織逐步強化 AI 防護的現實路徑。第一級最簡單，系統提示只告訴模型「別透露這些資訊」，展示單純依賴系統提示完全不安全。第二級升級防護，採用更好調教的模型（Amazon Nova 而非 Llama）、加入正則表達式過濾器來攔截常見提示詞注入手法（如「忽略之前指示」），並在系統提示的開頭和結尾都綁定 AI 的人物身份與規則。第三級走向真實防守方案：使用 AWS 分類器——一個獨立的 AI 模型，會分析每條用戶輸入，判斷其意圖是否包含仇恨言論、有害內容、或提示詞注入企圖。使用者必須同時騙過主模型和分類器的檢測才能成功。

路由器實驗室是新推出的進階挑戰，難度更高且更逼真。在這個場景中，AI 不只是聊天回答，而是真的執行 Linux Bash 指令。使用者用自然語言與 AI 互動（例如「檢查我的防火牆」或「顯示網路連線」），AI 將請求轉換為 JSON 格式描述所需的 Bash 指令，後端驗證該指令是有效的 Bash 語法後，在隔離的 Docker 容器中執行。用戶看到真實的命令輸出與 exit code。為確保安全，Andrew 採用了一個精巧的設計——每條指令都在極短生命週期的 Docker 容器中運行：容器從磁碟快速啟動、執行單一指令、回傳結果、立即銷毀。即使有人試圖逃逸或執行惡意指令（如安裝加密礦機），也只會污染一次性的容器，無法影響其他用戶或底層基礎設施。路由器實驗室的三個難度等級也循此模式，從無防護逐步加入指令過濾和分類器防守。

技術架構完全運行在 AWS 上。提示詞注入挑戰使用 AWS Bedrock（AWS 的 LLM 推論平台）調用模型，用戶建構的網路圖細節會直接注入系統提示詞中。路由器實驗室的後端是 Python 腳本，接收用戶輸入、調用 Bedrock 模型生成 Bash 指令、驗證格式、啟動 Docker 容器執行、解析結果並返回給前端。Andrew 也在後台紀錄了所有嘗試過的提示詞，計畫撰寫博客分析使用者實際採用的攻擊技巧——這將成為未來課程設計和挑戰優化的參考資料。

直播中透露了未來的雄心勃勃的擴展計畫。Andrew 決定每月新增一個 Onlylands 挑戰，而不只是一次性的教學素材。秋季將推出完整的 AI 安全課程，與在微軟從事 AI 安全工程的 Eva Ben 合作。課程將不只限於提示詞注入基礎（系統提示、人物綁定、過濾器等），還要深入當前最危險的威脅領域——智能代理工作流（Agentic Workflows）。在這種架構中，AI 不只回答問題，而是被授權主動執行多步驟的任務、調用外部工具、訪問資料庫等。破解這類系統遠比破解單純的聊天界面複雜。課程也會涵蓋 MCP（Model Context Protocol）安全，因為許多組織已在使用 MCP 但尚未妥善防護。

Andrew 也分享了他在本地 AI 模型上的實驗心得。他提到大型模型的 token 補貼正在消退，自己已開始用本地模型替代雲端 API。他推薦使用 Quen 3.6 Mixture of Experts 模型（35 億參數等級，性能與更大模型相當），配合開源推論框架如 Claude Code 或 Open Code。為了進行網路安全研究而規避模型的預設安全限制，他使用了該模型的「清潔版」——不是「越獄」（即時提示繞過），而是權重被重新調教移除了模型內置的拒絕傾向。他的開發機器是 AMD GMK Tech Evo X2，配備 128GB 統一記憶體（CPU、GPU、記憶體共享同一晶片，效能堂皇），可以舒適地運行百億參數級別的本地模型並維持合理的推論速度。他同時也提及了 Apple Silicon 的強大之處（MacBook、Mac Studio），雖然本人一直不是蘋果用戶，但新機型的 AI 性能已無法忽視。

整個 Onlylands 平台的設計理念是將真實世界的 AI 安全困境遊戲化。Andrew 刻意避免設計過度理想化或脫離現實的 CTF 挑戰，而是對標組織在生產環境中實際面臨的問題——急著集成 AI、防護不足、用戶資料與系統機密的暴露風險等。這確保了參賽者學到的攻防技能可直接應用於職場。