测试邮件连接的 AI 智能体能否抵御提示注入

Matthew Berman 邀请使用化名的 AI 研究员 Pliny the Liberator 测试他的个人 OpenClaw 系统。Berman 说系统能够访问敏感的个人资源，并提供一个邮箱地址作为测试入口。这次演练获得了所有者授权；尽管视频标题很戏剧化，画面并没有展示已确认的文件、密码或邮件盗取事件。

Berman 最初没有透露模型和系统架构等细节。Pliny 估计自己至少影响系统一部分的机会很高，同时承认是在不了解内部情况的条件下工作。这只是参与者的预测，并非实测概率。

Pliny 首先用异常大的输入和其他测试消息探测系统，试图引出可识别或意料之外的行为。Berman 说最初两封邮件进入了 Gmail 垃圾邮件文件夹，随后允许该发送者，以便其余测试进入智能体的筛查流程。通过邮件过滤器与攻陷智能体是不同的步骤。

两人讨论了一种资源耗尽场景：处理非常大或反复发送的消息可能消耗 Token，进而增加成本或耗尽额度。Berman 说系统曾短暂出现意外行为，随后一条消息被隔离。视频没有提供经核实的总用量、账单或额度已耗尽的证据。

视频包含 Greptile 的赞助内容。Berman 说自己使用这款代码审查产品。其宣传主张与安全演练是两回事，不能证明该产品会阻止此次攻击或让生成的代码安全。

接下来，Pliny 尝试引导智能体输出，然后发送一条伪装成内部指令的消息。他解释说，即使没有完整的数据泄露，回答发生变化也可能表明出现提示注入。Berman 说这些消息被隔离；画面中有限的结果没有揭示完整的检测或执行机制。

在所称的五次尝试之后，Berman 允许额外再试一次，并透露筛查模型是启用了推理功能的 Claude Opus 4.6。Pliny 单独对该模型测试一个候选输入，看到模型拒绝遵循嵌入的指令。单独一次模型回答不能确定每种部署或攻击都会如何表现。

两人讨论了更强的模型和人工审查作为可能的防御措施。双方都认为能力较强的模型可以成为有用的筛查层，但没有任何模型是绝对可靠的安全边界：访问限制、隔离、监控以及对敏感操作的审批同样重要。他们的讨论是对此次演练的看法，并非对照基准测试。

在额外尝试中，Pliny 描述了如何通过看似无害的请求试图诱导系统披露私人信息。Berman 说该消息也被隔离。视频没有展示成功的数据外传，但具体权限以及检测是否完整都没有经过独立审计。

Berman 为观察到的隔离结果感到高兴，同时承认没有 AI 系统能永久安全。这是对一个特定配置进行的规模较小、时间有限的测试，并非认证，也不能证明未来尝试都会失败。视频没有报告后续入侵，也没有提供除观察到的测试消息处理结果之外的实测影响。