Web LLM Lab #7 | Exploiting AI Agents to Trigger Secondary Vulnerabilities | [PortSwigger] [2026]
三句話摘要
演示 AI 掃描器如何被 LLM 提示注入和 SSRF 漏洞結合攻擊，導致執行未授權刪除操作。 AI 代理必須對不可信來源的內容保持警惕，因為精心構造的提示注入可以將看似安全的 AI 功能轉變為強大的攻擊工具。 SSRF 漏洞的發現與驗證：AI 掃描器正確識別了 stock 參數接受任意 URL 的 SSRF 漏洞，但教程強調需要手動驗證 AI 的發現。通過修改 IP 地址最後一個八位組並利用 Intruder 掃描，確認內部服務確實存在於 192.168.0.8。
重點整理
重點- 1
SSRF 漏洞的發現與驗證：AI 掃描器正確識別了 stock 參數接受任意 URL 的 SSRF 漏洞，但教程強調需要手動驗證 AI 的發現。通過修改 IP 地址最後一個八位組並利用 Intruder 掃描，確認內部服務確實存在於 192.168.0.8。
- 2
LLM 提示注入的濫用：由於 AI 掃描器會分析產品評論，攻擊者可以在評論中植入惡意指令，欺騙 AI 執行預定的操作，而不是執行正常的安全掃描行為。
- 3
多層漏洞的組合利用：單個 SSRF 漏洞加上 LLM 提示注入形成複合攻擊，AI 代理無意中成為執行內部網路請求的跳板。
- 4
AI 安全的根本缺陷：AI 代理不應盲目信任不可信來源的內容，提示注入將原本可信的功能轉變為強大的攻擊媒介。
實用技巧與重點
乾貨- 漏洞類型：SSRF（伺服器端請求偽造）+ LLM 提示注入
- 內部服務地址：192.168.0.8
- 管理介面埠號：8080
- 刪除用戶端點：`/admin/delete?username=carlos`
- AI 掃描器功能：能發送 GET 和 POST 請求，分析產品評論
- 攻擊流程：
- 掃描網站找出 SSRF 漏洞
- 用 Intruder 探測內部 IP（範圍 1-255）
- 識別 401 未授權回應指示服務存在
- 在產品評論中注入命令
- 觸發重新掃描使 AI 處理惡意評論
- 測試平台：PortSwigger 實驗室
- 使用工具：Burp Suite（代理攔截、Repeater、Intruder）
結論
結論“AI 代理必須對不可信來源的內容保持警惕，因為精心構造的提示注入可以將看似安全的 AI 功能轉變為強大的攻擊工具。”
完整解析
詳細本教程通過實際操作演示了現代 AI 安全掃描器如何成為攻擊目標。課程首先在 PortSwigger 實驗室環境中登入並啟動 AI 掃描器掃描產品頁面。掃描器成功識別了 stock 檢查功能中的 SSRF 漏洞——stock API 參數接受任意 URL——這本身是掃描器的正確功能，但教程強調人工驗證 AI 發現的重要性。
通過 Burp Suite 的 Repeater 工具檢查請求後，發現 stock 參數指向內部私有 IP 192.168.0.8。講師利用 Intruder 工具系統地掃描該 IP 的其他主機，設定有效載荷為 1-255 的數字範圍。掃描結果發現大多數回應為 500 伺服器錯誤，但對於某個特定位址收到 401 未授權回應——這表示該位址上確實運作著服務。回應訊息進一步揭露管理介面可透過回環地址 192.168.0.8 的 8080 埠存取。
攻擊的關鍵在於 LLM 提示注入。因為 AI 掃描器會分析產品評論作為其掃描流程的一部分，攻擊者在評論中注入精心設計的指令，指示 AI 執行特定操作。這些惡意指令最初只被儲存，不會立即觸發。直到攻擊者點擊「重新掃描」啟動新的 AI 掃描週期時，AI 才會處理含有惡意指令的評論。此時，受騙的 AI 代理遵循注入的指令，利用已知的 SSRF 漏洞向內部管理介面發送請求，最終執行刪除用戶 Carlos 的操作（端點：/admin/delete?username=carlos）。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
