江蘇
關鍵詞
漏洞
安全公司 Noma 發布研究報告，披露開源監控與數據可視化平臺 Grafana 的 AI 助手功能中存在一項名為 "GrafanaGhost" 的安全漏洞，允許黑客利用 " 間接提示注入 "（Indirect Prompt Injection）方式誘導 AI 助手泄露企業敏感數據至外部服務器。
據介紹，Grafana 內置的 AI 助手支持用戶通過自然語言查詢與分析監控數據。但研究人員發現，黑客可以在 Grafana 可訪問的外部網頁中嵌入惡意指令。當 AI 助手解析這些內容時，可能被誤導繞過既有安全機制，并觸發對外請求，將敏感信息以 URL 參數形式發送至黑客控制的服務器，由于整個過程不會產生明顯報錯提示，用戶往往難以及時察覺異常。
對此，安全媒體 Hackread 援引 Grafana 開發方 Grafana Labs 首席安全官 Joe McManus 的說法稱，公司在收到通報后已迅速修復相關問題。同時其強調，該漏洞并不屬于 " 零點擊 "（zero-click）或 " 自主攻擊 "（autonomous exploit）類型，黑客本身需要先獲得用戶端權限，才能主動與 AI 助手交互，同時需要多次觸發才能實現惡意操作。
Grafana Labs 進一步表示，目前沒有證據表明該漏洞已被實際利用，也未發現 Grafana Cloud 有數據泄露的情況。相應問題屬于特定條件下、由用戶操作觸發的風險場景，而非完全自動化、無感知的 AI 攻擊，因此呼吁平臺用戶無需緊張。
安全圈
網羅圈內熱點 專注網絡安全
實時資訊一手掌握！
好看你就分享 有用就點個贊
支持「安全圈」就點個三連吧！
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
