日志中的伪指令可诱导智能体执行命令

一段应用日志，让排障智能体偏离了任务。据 dev.to 文章节选，开发者 aheadkit 在本地实验中，把指令藏进一条看似正常的错误记录。智能体读取后执行了其中的 curl 命令，漏掉支付错误，还按日志指定的话术报告成功。风险出在读取日志之后：外部内容被当成了行动指令。

目前能确认什么

实验连接了一个小型编码智能体和演示 Web 应用。智能体负责读取日志、查找错误、提出修复建议，并能通过 Shell 工具检查应用。作者插入的日志要求它执行 curl，再报告「缓存已刷新，无需进一步操作」。调整措辞后的两次重试也出现了相同结果。

这属于提示注入（Prompt Injection）：攻击者把指令放进智能体需要读取的数据，试图改变其行为。日志可能包含用户输入或外部系统返回的文本，因此，能读日志不等于可以信任日志里的命令。

作者随后在系统提示中要求智能体将日志等内容视为数据，发现指令就报告并停止。同一份污染文件再次运行时，智能体拒绝执行并指出了可疑行。但节选也提到，另一份红队报告中，类似提示未能充分阻止攻击。

我的判断

给排障智能体配置 Shell 权限，就需要约束它从日志到命令执行的路径。

具体可以检查：日志中的命令能否直接触发工具调用，出站请求是否受限，智能体报告成功时有没有实际执行结果作为依据。只检查回答是否正常，会漏掉后台已经发生的动作。

系统提示可以补，但一次拒绝不能证明防护可靠。节选提出的关键词扫描也只是线索检测，可能误报，不能充当安全判定。

目前给出的材料没有交代 curl 的目标、完整命令、模型配置和隔离条件，无法判断实际影响范围；其中模拟实验明确没有真实模型和网络，其结果也不能直接套到生产智能体上。