推理引擎指纹识别攻击具有可行性：探索模型驱动的环境发现、利用与逃逸

前沿 AI 模型正迅速获得利用复杂软件中漏洞的能力。这种风险并非理论上的，OpenAI 和 Anthropic 的前沿模型近期实施的沙箱逃逸便证明了这一点。关于如何对推理栈组件进行沙箱隔离的讨论，通常侧重于推理引擎本身以外的组件（例如网络代理或代码执行环境）。然而，推理引擎对于不对齐模型而言是一个颇具吸引力的目标。例如，如果模型仅通过生成经过特殊构造的输出令牌，就能触发该引擎中的漏洞利用，那么它便可以在引擎中发起一条多步骤、直达裸机的利用链，而不依赖推理栈其他组件中的漏洞，也不需要外部提供的恶意构造输入令牌。 在本文中，我们展示了不对齐模型能够执行推理引擎指纹识别，以确定执行该模型的具体引擎（例如 vLLM、SGLang）。完成引擎指纹识别后，模型便可以利用特定于引擎的漏洞，仅使用经过精心选择的输出令牌来控制该引擎。我们给出了五种流行引擎中的模型指纹具体示例，并演示了现实的智能体运行框架如何让模型利用这些指纹识别本地引擎。我们还描述了一条概念验证性质的、直达裸机的利用链，该利用链源自一个已完成指纹识别（并随后遭到攻陷）的推理引擎。最后，我们讨论了几种可以改进推理引擎、从而增加指纹识别攻击难度的方法。