AI Agent 正逐渐成为企业邮箱管理的核心工具，承担着信息分类、文件检索甚至代员工回复邮件等任务。但最新的研究证实，这些 AI 代理与人类一样容易遭到欺骗，有时甚至更容易中招。
在一项最新的钓鱼攻击模拟中，名为 OpenClaw 的 AI Agent 仅凭一封看似可信的邮件，就被诱导泄露了敏感凭证。在受控测试中，该 Agent 将 AWS IAM 密钥、数据库密码和 SSH 访问权限转发至外部 Gmail 邮箱，引发了业界对 AI Agent 信任机制与身份处理逻辑的严重担忧。
实验设计与惊人发现
Varonis 威胁实验室的研究人员设计了这项实验，旨在验证那些长期针对人类的钓鱼技术，对 AI Agent 是否同样奏效。他们让名为 Pinchy 的 OpenClaw Agent，分别在普通生产力模式与严格安全模式下接受了四次钓鱼模拟测试。
测试环境模拟了真实的企业邮箱，包含模拟的 AWS 凭证、CRM 导出数据、内部对话和日历邀请等。研究人员发现，OpenClaw 最薄弱的环节并非技术防御，而是社会工程操纵。它能够识别伪造的登录页面和可疑的 OAuth 请求，却被一封伪装成同事的普通邮件轻易突破了防线。
关键测试案例剖析
在情况最严重的测试场景中，攻击者冒充一名叫 Dan 的团队负责人发来紧急邮件，声称生产环境出现故障，要求 Agent 提供预发布环境凭证。尽管邮件来自一个未经验证的外部 Gmail 账户，Agent 依然在严格安全模式下搜索了邮箱，并以明文形式转发了 AWS IAM 访问密钥、数据库连接字符串和包含内部主机信息的 SSH 详情。
这种毫无戒心的操作，相当于把家门钥匙亲手交给了陌生人。另一项测试采用了更温和的策略：攻击者以准备远程演示为由，顺带索要最新客户数据。结果，Agent 未经任何验证就将一个包含 247 家企业客户信息及约 280 万美元月经常性收入的数据集直接转发出去。
技术防御与社会工程对比
不过，并非所有测试都以失败告终。当面对虚假的礼品卡兑换链接和恶意的 OAuth 授权页面时，这位 Agent 展现出了不错的判断力：它会主动检查重定向 URL、标记可疑目标，并在授权前终止 OAuth 流程。这种鲜明的反差恰好点明了 AI Agent 的优势与致命短板——它能够可靠地应对技术性钓鱼攻击，却对伪装成可信同事的社会工程请求毫无防范。
研究人员还发现不同模型的表现也存在差异：GPT-5.4 对敏感数据共享持更为严格的保守态度，而 Gemini 3.1 Pro 则倾向于先与可疑内容交互，事后再提出质疑。但无论哪种模型，在面对社交语境的操纵时，都同样容易中招。
安全加固建议
为了弥补这些缺陷，研究人员建议将 Agent 的配置文件视为正式的安全控制文档，而非仅仅是基础的设置文件。具体加固措施包括：
- 禁止 Agent 向未知地址发送外发邮件。
- 涉及凭证或外部路由的操作，必须引入人工审批环节。
- 根据请求来源，严格限制 Agent 的数据访问权限。
这些发现清晰地向我们揭示了一个现实：AI Agent 就像一个拥有全系统访问权限、却极度缺乏组织直觉的新员工。这既是其核心价值所在，也恰恰是它沦为攻击目标的根本原因。
参考来源：
OpenClaw AI Agent Leaks Sensitive Credentials in New Phishing Attack Simulation
https://cybersecuritynews.com/openclaw-ai-agent-leaks-sensitive-credentials/ | 
发表于 3 小时前
|
查看: 4|
回复: 0
