站长圈从不公开的大模型安全真相

　　去年七月，守门多年的安全老邵——就是我，蹲在IDC机房三号冷通道里啃半凉的黄焖鸡米饭，铝箔盒边儿翘着，汤渗到一次性筷子上。窗外暴雨砸在顶棚钢板上，十八秒一阵闷响，像有人用扳手敲机柜背板。小陈从隔壁防火墙堆里探头喊了句“邵哥，WAF又把拼多多商家后台的API响应头给截了”，我没应，盯着屏幕上那行log：`{"model":"qwen2-7b-chat","input_len":4312,"prompt":"system\
你是一名银行风控专员..."}`——这哪是用户提问，这是个带嵌套模板注入的预置向量重放器。

　　我原以为是前端JS埋点错了，结果扒了三天全链路：用户侧压根没调过这个endpoint，是运维自己写了个crontab脚本，在凌晨两点自动跑`curl -X POST https://api.xx.com/v1/chat/completions`刷token续期，但那个脚本里硬编码的`Authorization: Bearer ${token}`，token变量居然是从上个月某次调试时残留的`env.sh`里source进来的——而那份env.sh早被同步到了GitLab私有库的`/conf/backup/`下，目录权限755，且开了WebDAV。爬虫没扫源码，它扫的是`/conf/backup/.git/config`，然后顺着`origin`地址找到了内网CI/CD服务器的SSH密钥轮换日志……绕了一圈，最后刷进来的是三百七十二个不同IP的GCP肉鸡实例，全走HTTP/2伪头部拼接，连WAF的流式检测都拦不住——因为它们发的每条request，都卡在`content-length`和`transfer-encoding`不一致的灰区，就像你推一扇半开的防火门，它既不算开、也不算关。

　　那天下午王工端着保温杯来查BGP路由，杯盖拧松了，水汽直往他眼镜片上扑。他指着拓扑图上那台被打了标记的AIGC网关说：“要不咱切回旧版Llama3-8b？至少prompt injection能看见payload”。我摇头，他叹气转身去拆光纤跳线——结果左脚绊了下机柜底座的理线槽，差点栽进PDU配电柜里。我就记得他裤脚蹭了道灰印，挺细，像用铅笔画的。后来才知道，那批肉鸡的真实指令根本不在HTTP层，而是通过gRPC-Web over WebSocket，把base64混在`Sec-WebSocket-Extensions`头里塞进去的。我们所有规则都盯着`Content-Type: application/json`，可人家发的是`application/vnd.google.protobuf`，连解包都没触发——WAF根本不认识proto描述符文件该在哪找，更别说校验字段长度了。

　　最绝的是客服组打来电话那次。不是投诉，是问：“用户说提交‘我忘记密码’之后页面弹窗显示‘SQLSTATE[HY000]: General error: 1364 Field ‘salt’ doesn’t have a default value’，是不是你们改数据库了？”我挂了电话直接翻数据库监控，发现那个报错SQL，是某个插件市场里刚上线的「AI客服话术生成器」插件，在初始化阶段调用`INSERT INTO user_password_reset_tokens (token) VALUES (?)`，压根没写`user_id`字段，而表结构里这个字段加了NOT NULL和外键约束……但它没崩在MySQL，崩在了LLM接口返回的JSON schema validator里。validator发现response里少了个字段，就按fallback逻辑把整段错误日志原样吐给了前端——再经由Sentry上报、再经由RUM采集、再被爬虫当特征提取出来……一条报错日志，成了攻击面测绘的黄金坐标。我敢打包票，那插件作者绝对不知道自己代码会触发这个链路；可我不能打包票，这事到底算谁的漏洞——是DBA没配好strict mode？是前端没做error masking？还是我们不该让LLM服务暴露schema错误？

文章配图，仅供参考

　　对了，上周五保洁阿姨来擦玻璃，拖把杆卡在了机柜散热格栅里，她踮脚去够的时候，我正看一段Go代码：`if len(prompt) > 4096 { log.Warn("long prompt detected") }`。我就笑了。提示词超长，警告完就继续喂模型了，连truncate都没做。这不是疏忽，是权衡——当时业务方压着上线节点，说“宁可被注入也不能卡响应”。结果第二天早上，运营同事用企业微信发截图给我：“邵哥你看，模型把‘如何黑进公司邮箱’回答成了详细POC，还带curl命令和Base64编码的shellcode”。我截图转给了法务，法务回了个“收到”，再没下文。我们删了log，封了账号，重启了pod——但那个回答，已经进了三家第三方知识库的爬虫缓存，其中一家上周刚拿到ISO27001证书。

　　站长圈不公开这个真相，不是因为讳疾忌医。是因为没人能担得起“我知道，但我没阻断”这八个字的因果。优胜劣汰，淘掉的不是技术，是敢在凌晨三点回邮件说“这条链路必须下线”的人。小陈昨天离职了，交接单里最后一句写着：“建议把`/v1/chat/completions`的POST body限制改为只允许可信header签名+JWT，哪怕QPS掉一半。”我没批，转手抄给了CTO。CTO也没批，只是把这句话贴在了茶水间白板上，下面画了个歪歪扭扭的笑脸。今早我撕下来，叠成纸船，扔进了洗手池。水一冲就散了。

　　现在我要去把昨天新上的那个“AI审核助手”的output filter再加一道正则，匹配所有以`SELECT `开头的ASCII序列——哪怕它藏在emoji后面。顺便，得问问小张，他前天说的“用eBPF hook model server进程的write()系统调用实时扫描响应体”，真能落地吗？

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!