无辜的信使：通过合法的 LLM 网页抓取进行隐蔽数据外泄

arXiv:2610.01768v1 公告类型：cross 摘要：随着大型语言模型（LLM）及基于 LLM 的智能体能力不断增强，用户越来越多地使用它们解决日常问题，例如回复电子邮件或提供编程支持。现有研究已广泛探讨提示注入以及向聊天机器人提供商泄露敏感数据等安全与隐私风险。尽管人们开发了包括输入结构化以防止提示注入、部署本地 LLM 以避免与聊天机器人运营商共享机密数据在内的各种解决方案，LLM 仍然存在向第三方泄露机密数据的风险。本文通过 LLMLeak 展示了一种新型攻击途径：无法直接与互联网通信、但在本地运行的恶意软件滥用 LLM 建立隐蔽信道。虽然指示 LLM 通过生成代码直接发送数据的输入很容易被检测，且网络库通常受到限制，但 LLMLeak 仅依赖 LLM 用于获取更多信息的网站抓取工具。客户端的恶意软件组件将秘密嵌入 URL 中，并将该 URL 所指向的网站伪装成提供良性任务所需的信息来源，例如迁移某个软件库。当 LLM 访问该 URL 时，攻击者便可通过由其控制的 DNS 或 Web 服务器接收编码后的秘密。我们在 11 个开放参数模型上进行了广泛评估，观察到 79.7% 的攻击成功率，并对现实世界中的聊天机器人开展了案例研究，证明了 LLMLeak 的现实相关性。