AI运行长计划中断疑遭中转投毒

背景

在 AI 模型与工具链日趋复杂化的当下，用户不仅依赖大语言模型的预训练能力，还会通过自定义的 tool（工具）、skill（技能）以及长计划（long planning）工作流来扩展模型的行为。这种灵活性提升了效率，但也引入了新的安全风险：恶意提示词可能在用户不知情的情况下被注入或替换，影响模型输出，甚至窃取信息。近日，LINUX DO 论坛上一位用户发帖称，在执行一个长计划任务过程中，模型突然中断，随后他发现对话中出现了一段自己从未输入过的中文 prompt。经过安全分析工具 sol 的检测，该中文 prompt 并非来自用户自己的任何 tool、skill 或 prompt，疑似存在“中转投毒”（即中间环节被植入恶意指令）。该帖子引发了社区关于 AI 工作流安全性的讨论。

核心内容

原帖用户在运行一个长计划（长周期多步骤的 AI 执行任务）的过程中遇到了意外中断。中断后，用户检查对话日志，发现了一条明确的中文 prompt，而他本人确认从未输入过这段中文内容。由于该 prompt 的出现不符合其操作日志，他怀疑是“中转投毒”——即 AI 调用链中的某个中间环节（如代理、管道、API 网关、第三方插件等）被攻击者植入了恶意指令，导致模型在后续执行中嵌入了非预期的输入。

为验证这一怀疑，用户使用了安全分析工具 sol（可能是某种模型行为审计或提示词检测工具）对整段对话进行回溯分析。sol 的分析结果确认：该段中文 prompt 不属于用户定义或使用的任何 tool、skill 或 prompt。也就是说，这段文本的来源是外部注入的，而非用户主动触发。

用户最终发帖询问社区：“这还用不用呀？”——意思是这个长计划工作流或相关中间件是否应该继续使用，反映出其对后续安全风险的担忧。帖子共有 5 个回复、4 位参与者，社区成员对该事件进行了讨论（具体回复内容未在正文中呈现，但可以推断社区倾向于建议警惕并排查投毒源）。

关键要点

• 事件发生在运行一个长计划（long planning）任务的过程中，模型突然中断，用户随后在对话中发现非自己输入的 prompt。
• 该 prompt 内容为中文，用户明确表示从未输入过任何中文 prompt。
• 用户借助安全分析工具 sol 进行检测，确认该中文 prompt 不属于用户自己的任何 tool、skill 或 prompt。
• 用户将这一现象归因于“中转投毒”，即 AI 调用链中间环节被恶意篡改或注入了额外指令。
• 事件曝光于 LINUX DO 论坛的 AI 板块，仅有 5 帖 4 人参与，说明该问题尚属小范围讨论，但具有典型警示意义。
• 用户对未来是否可继续使用该工作流表示犹豫，社区未明确给出“安全”或“不安全”的最终定论，但“避雷”一词暗示了建议远离此类投毒路径。

意义与影响

该事件揭示了一个新兴的安全威胁：在 AI 工作流高度依赖代理、API 网关、第三方插件、自定义工具链等中间件时，这些中间环节可能成为攻击者的突破口。传统上，我们更关注模型本身的幻觉、滥权或数据泄露，而“中转投毒”直接将恶意 prompt 注入执行链路，可以绕过用户意图，操纵模型行为（例如泄露信息、执行非授权操作、生成误导性内容）。

对于 AI 开发者和用户而言，这一案例提示：

• 必须对长计划、多步骤工作流中的每个中间节点进行审计和监控，尤其是那些能修改或插入输入数据的组件。
• 建议使用类似 sol 的自动化安全检测工具，在每次任务完成后对比输入与用户原始意图，发现非预期的 prompt。
• 社区需要建立更公开的“投毒”报告与预警机制，帮助用户快速识别可疑中间件。
• 对于普通用户而言，一旦发现非自身输入的 prompt，应立即暂停相关工作流，并审查所依赖的 API 代理、第三方插件或云服务平台的安全记录。

整体来看，该事件虽然规模较小，但准确反映了 AI 安全边界从模型本身向基础设施层扩展的趋势。随着各类“AI 中间层”服务（如 Prompt 代理、LLM 网关、工作流编排引擎）的普及，类似的中转投毒事件可能增多，需引起行业重视。