AI 代理的身份危機：提示注入如何將程式碼審查工具變成內部威脅

深入探討了 Prompt Injection 如何將 Code Review Agent 變成內部威脅，分析了傳統安全模型在 Agentic 流程中的不足，並提出了解決方案，對 AI 安全實戰有重要參考意義。

• 目前企業處理 AI 代理 的安全模型存在根本缺陷，常將其視為靜態微服務，並賦予其 長期有效的特權憑證。 • 這種處理方式無法應對 動態、非同步、多跳 的代理工作流，為 權限提升 (privilege escalation) 開啟了巨大後門。 • 文章展示了一個經典的攻擊情境：前端開發者利用簡單的 提示注入 (prompt injection)，指示擁有廣泛讀取權限的程式碼審查 AI 代理，從敏感的後端核心儲存庫中提取 洩漏的機密或金鑰。 • 這些機密隨後會被代理傾印到前端的 Pull Request 評論中，導致開發者存取了其原本無權查看的敏感資料，使代理無意中成為 內部威脅。 • > 作者指出：「現有的安全模型已不再適用，並為權限提升開啟了巨大後門。」 • 為解決這項挑戰，作者提出在基礎設施層實施解決方案，包括強制執行 基於密碼學的權限交集 (crypto-based permission intersection)、SPIFFE 身份 以及 MCP 上的遞迴令牌交換 (recursive Token Exchange over MCP)。 • 這些技術旨在為 AI 代理 建立更精確、動態的 身份與授權邊界，以有效防範類似的惡意利用。