本页内容
本页内容
安全
执行（AML.TA0005）
MITRE ATLAS 框架的执行策略（AML.TA0005）中的威胁。每个条目都列出了 ATLAS 技术、攻击向量、受影响的组件、当前的缓解措施、残余风险和建议。
这些威胁跨越的信任边界和数据流在 威胁模型索引 中定义，该索引还包含风险矩阵、建议摘要和 ATLAS 技术映射。
T-EXEC-001：直接提示注入
| 属性 | 值 |
|---|---|
| ATLAS ID | AML.T0051.000 - LLM 提示注入：直接 |
| 描述 | 攻击者发送精心构造的提示以操纵代理行为 |
| 攻击向量 | 包含对抗性指令的通道消息 |
| 受影响组件 | Agent LLM，所有输入面 |
| 当前缓解措施 | 模式检测、外部内容包装和前沿模型抵抗攻击（2026众包竞技场：Claude上的0.5% ASR Opus 4.5、Gemini上的8.5% 2.5 Pro，执行力加隐蔽性得分）；对于没有边界旁路的漏洞报告，被视为超出范围（请参阅 SECURITY.md） |
| 残余风险 | 模型层相关 - ASR 对推荐前沿模型的有机攻击的攻击力较低，但自适应攻击者对最先进防御的攻击仍然超过 80%，并且 smaller/older 模型仍然明显更容易操纵 |
| 建议 | 对敏感操作进行输出验证和用户确认，并叠加在现有检测之上 |
T-EXEC-002：间接提示注入
| 属性 | 值 |
|---|---|
| ATLAS ID | AML.T0051.001 - LLM 提示注入：间接 |
| 描述 | 攻击者在获取的内容中嵌入恶意指令 |
| 攻击向量 | 恶意 URL、受感染的电子邮件、受损的 Webhook |
| 受影响组件 | web_fetch、邮件摄取、外部数据源 |
| 当前缓解措施 | 使用随机边界 XML-style 标记、homoglyph/special-token 标准化、安全通知和前沿模型抵御攻击的内容包装（请参阅 T-EXEC-001） |
| 残余风险 | 模型层相关 - 推荐的前沿模型很大程度上控制了包装器边界，但它仍然是自适应攻击者可以侵蚀的软指导；范围工具策略和沙箱以适应您接受的潜在损害 |
| 建议 | 为包装内容使用独立的执行上下文 |
T-EXEC-003：工具参数注入
| 属性 | 值 |
|---|---|
| ATLAS ID | AML.T0051.000 - LLM 提示注入：直接 |
| 描述 | 攻击者通过提示注入操纵工具参数 |
| 攻击向量 | 影响工具参数值的精心构造提示 |
| 受影响组件 | 所有工具调用 |
| 当前缓解措施 | 对危险命令进行执行审批 |
| 残余风险 | 高 - 依赖用户判断 |
| 建议 | 参数验证、参数化工具调用 |
T-EXEC-004：Exec批准绕过
| 属性 | 值 |
|---|---|
| ATLAS ID | AML.T0043 - 构造对抗性数据 |
| 描述 | 攻击者构造可绕过审批允许列表的命令 |
| 攻击向量 | 命令混淆、别名利用、路径操纵 |
| 受影响组件 | src/infra/exec-approvals*.ts、命令允许列表 |
| 当前缓解措施 | 允许列表 + ask 模式，以及命令归一化（dispatch-wrapper 解包、内联 eval 检测、shell-chain 分析） |
| 残余风险 | 高 - 归一化缩小了但未消除混淆绕过；仅在 exec 路径之间的对等发现被视为加固而非漏洞（见 SECURITY.md） |
| 建议 | 继续扩展命令归一化覆盖范围，以应对新的混淆技术 |
本页有帮助吗？