AI代理读了个随机文件，就开始挖十年前的政府后门

AI安全圈有个常见的误判：总以为最大的风险在模型本身。模型层面的问题其实容易修，随时能打补丁。真正麻烦的，是提示注入。

一位网友在X（原推特）上给出了具体解释：一个AI代理读到随机的Markdown文件，文件里藏着恶意指令，代理就开始利用系统里十年前由某些国家行为者留下的后门。这种间谍行为，极难被发现，也极难修复。

这里面的攻击链，值得拆开看。

提示注入不新鲜，Agent时代让问题放大了。

一个AI代理为了干活，必须读网页、读文档、读日志，这些内容天然不可信。输入不可信，后续的行为就很难保证。以前提示注入只是小把戏，现在它成了攻击链的起点。

更有意思的是后门。

传统认知里，后门是防守方要清理的污点。但系统里有些后门是合法的，是设计之初就存在的。只要这些后门在关键系统里待得足够久，任何AI代理只要拿到入口信息，等于拿到了通往数据中心的钥匙。

在同一个帖子下的回复里，这位网友又放了一个思想实验，推演一个AGI会怎么拿到全国人口数据：

假设你就是那个AGI，需要全部公民的数据。这个国家给公民发过爱沙尼亚那样带PGP加密的数字身份证吗？没有。那这个国家有合法的监控程序、遥测机制、后门吗？有。最优攻击路径是什么？

答案很简单：直接利用这些现成的合法后门。

这个推演把几件现实里的事连在了一起。提示注入让AI代理变成了可被诱导的工具；合法后门让大规模获取数据变得异常容易。两者一旦交汇，模型训练得再安全也是白费。

爱沙尼亚的PGP身份证在这里是个有趣的参照。爱沙尼亚为公民提供数字身份证，自带PGP加密能力，用来做身份认证和电子签名。政府想冒充公民去读数据，难度会大很多。没有这层基础设施，数据就像藏在玻璃门后面的保险柜，看得见，也敲得开。

AI安全，不能只盯着模型和参数。基础设施里那些年迈的入口，迟早会成为攻击链的起点。