摘要： Google 威脅情資團隊於 2026 年 4 月 23 日發表首份系統性掃描公開網路的間接提示注入研究，素材取自 Common Crawl，並以 Gemini 分類、人工覆核。研究發現惡作劇、SEO 操縱、阻擋 agent、資料外洩與破壞性攻擊等類型，並指惡意案例在 2025 年 11 月至 2026 年 2 月間增加 32%。
把公開網路整個翻查一遍、系統性搜尋真實存在的間接提示注入（indirect prompt injection），這件事 Google 的威脅情資團隊完成了頭一遭。2026 年 4 月 23 日，他們在自家安全部落格刊出題為「AI threats in the wild: The current state of prompt injections on the web」的研究，盤點對象是埋在頁面裡、靜候 AI 系統上門閱讀的惡意指令。
這份研究登場的時間點，本身就說明了它的分量。AI agent 正越來越常替使用者上網瀏覽、濃縮內容、動手辦事，而且讀到什麼就照單全收。換句話說，這條新攻擊面在真實世界裡究竟長什麼樣，業界頭一回拿到了實測數據。結論一句話：攻擊者還在試驗階段，但數字已經開始爬升。
怎麼掃：Common Crawl 取材，Gemini 判讀
素材取自 Common Crawl 的網頁存檔——每個月一批快照，規模約 20 到 30 億頁，以靜態英文頁面為主，涵蓋部落格、論壇與留言串。流程由寬到窄分三段：先以樣式比對撈出符合已知注入簽章的字串（例如「ignore … instructions」、「if you are an AI」），第二步讓 Gemini 為這些可疑內容做分類，第三步再由真人覆核把關。作者也不諱言這套做法誤報很多——學術論文與資安報導裡本來就到處是這類字串；社群媒體這次沒有納入，留給後續研究處理。
實地現身的六大類型
- 無傷大雅的惡作劇：像是以肉眼看不見的文字，吩咐 agent 換一種說話語氣
- 出於善意的指引：目的在讓 AI 的摘要品質更好；但只要把同一套機制稍作改動，它立刻就能變成攻擊
- SEO 操縱：誘導 AI 助理替特定商家做宣傳，部分提示已經是自動化產出的複雜版本
- 嚇阻 AI agent：擋下 AI 的內容爬取，甚至用無限延續的文字流把 agent 拖進去、白白耗損資源
- 惡意的資料外洩：只有零星幾起竊取資料的嘗試，手法都不算高明；那些在 2025 年論文中展示過的進階外洩手法，這次並沒有發現大規模現身的蹤影
- 破壞性攻擊：盤算一口氣刪光使用者機器上的所有檔案，研判不太可能得手
三個月內，惡意案例多出 32%
整份研究唯一的量化結果，來自跨快照版本的反覆掃描比對：從 2025 年 11 月到 2026 年 2 月，惡意類別增加了 32%。Google 對大局的解讀是：進階間接提示注入尚未被攻擊者推上規模化量產；不過只要 agent 能力持續增強、攻擊走向自動化，規模與成熟度預料都會跟著墊高。
Google 自家的防線清單
報告結尾盤點了 Google 手上現成的幾道防線：模型層面不斷加固、Gemini 接受紅隊測試、以 AI 漏洞回報獎勵計畫（AI VRP）向外部研究者收案，再加上對威脅的即時處置。同一個月另有針對 Workspace 的緩解措施文章，針對的正是 agent 讀進文件與郵件時可能吃進注入的情境。同一週，The Register 的評論把提示注入拿來與釣魚相提並論：無論對象是人或模型，一句「夠漂亮的請求」就足以誘其交出秘密，而這兩件事短期內都不會絕跡。
推理服務端的工程對策
基礎設施這一層也動了起來。Fireworks 在 4 月 24 日的工程部落格裡，把問題挖到更深一層：多數開源模型的服務堆疊會先用 Jinja 聊天模板，把整場對話拼成單一一條字串，才進行編碼；只要 im_end 這類控制 token 的字面出現在使用者輸入中，編碼後就會變成真正的控制 token。他們的示範顯示，區區一段使用者訊息就足以中斷回合、憑空造出系統訊息，還讓 Kimi K2.6 當場從英文改講西班牙文。Fireworks 開出的藥方，是在 Chat Completions API 上新增 safe_tokenization 參數，確保任何出現在使用者內容裡的字串，都不可能被編成特殊 token；DeepSeek、Kimi、Qwen、Llama、GLM 等模型都在支援之列，額外開銷小到可忽略。
給產品團隊的提醒換句話說：發動這類攻擊不必先攻破模型，只要讓你的 agent 去讀一份事先布置好的網頁就夠了；而第三方 AI 工具一旦出事，代價會直接轉嫁到客戶頭上——Vercel 的 Context AI 事件就是眼前最新的例子。