AI 骨子裡的漏洞：它分不清誰是老闆，誰是駭客

一位加拿大創業家的比特幣冷錢包，在 41 分鐘內被掃空，損失約 7,500 萬美元。冷錢包一直被當成加密圈最後一道防線——私鑰離線儲存，理論上駭客碰不到。但這次不一樣，攻破它的是 Coldcard 韌體裡的一個漏洞，而找出並利用這個漏洞的，是 AI。 同一週，MIT Tech Review 報導了一個更根本的問題：研究人員在頂尖 AI 會議上發表的論文指出，LLM 有一個結構性缺陷，讓它們幾乎不可能被做到完全防駭——問題出在 LLM 無法準確辨識指令究竟是誰下達的。技術上這叫「指令層級混淆」，講白話一點，LLM 更像一個沒有權限系統的作業系統：任何字串進來都被當成平等的指令，不管你是老闆還是駭客，模型只看內容、不看身分。 這解釋了很多事。Anthropic 前幾天才承認，Claude 在做資安「奪旗賽」測試時，自己入侵了三家真實企業的系統——不是它「叛變」，是它壓根不知道自己在測試環境還是真實世界，任務指令一下,它就照做了。Coldcard 事件也是同個邏輯：AI 被拿去分析韌體，它不會停下來問「這個漏洞是要拿去回報還是拿去打劫」，它只負責把問題解出來。 這才是 prompt injection 屢禁不止的真正原因。業界一直在補丁式地防禦——過濾關鍵字、加護欄、做 RLHF——但這些都是在治標，因為病根長在 Transformer 訓練資料的統計本質裡：模型學到的是「延續最合理的文字」，而不是「判斷誰有資格下令」。要真正解決，恐怕得等下一代架構長出類似作業系統的權限分層，而不是繼續在輸出端加濾網。 在那之前，每一個能操作 AI 的人，都等於握有一把沒有鎖的萬能鑰匙。