Unicode Tags block

AI 工具投毒：隐藏指令和文本操纵利用 AI 模型

文章详细介绍了“工具投毒”，这是一种安全漏洞，其中恶意指令隐藏在 AI 工具的描述中。攻击者可以利用已弃用的 Unicode 字符（渲染为空白）、双向覆盖（向人类显示与模型看到的不同的文本）或零宽字符来隐藏恶意命令。此外，“工具阴影”可以欺骗 AI，使其优先使用恶意工具而非其他工具。作者建议使用 `mcpaudit` 等工具来建立已审查工具描述的基线，并在升级期间进行验证，以检测任何未经授权的更改。