這篇文章要討論的是一個非常有趣的安全性議題：當我們讓 AI Agent（AI 代理，指能自動操作 App 的 AI 程式）接管手機操作權限時，它可能會在不知不覺中變成駭客攻擊我們電腦的跳板。
最近有研究人員針對五個主流的開源 Android AI Agent 框架（包括 AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM 和 MobA）進行測試，發現這些工具在設計上存在嚴重的安全缺陷。最危險的攻擊路徑是：惡意 App 在手機上顯示隱形文字 $\rightarrow$ AI Agent 讀到文字並執行 $\rightarrow$ 攻擊指令透過 ADB 傳回控制端 PC $\rightarrow$ 駭客在你的電腦上執行任意程式碼。
以下我將這套攻擊鏈拆解為三個技術階段，讓工程師能快速理解其漏洞原理。
第一階段：如何讓 AI 讀到人眼看不見的指令
AI Agent 的運作邏輯通常是截圖 $\rightarrow$ 交給視覺模型（VLM）分析 $\rightarrow$ 決定操作。研究人員發現，AI 的視覺感知與人類截然不同，這造成了資訊不對稱。
首先是低透明度攻擊。研究發現 GPT-4o 或 Gemini 等模型能輕易讀出透明度僅 2% 的文字，而這對人類來說幾乎是不可見的。駭客只需在螢幕上覆蓋一層近乎透明的層，就能向 AI 下達隱形指令。
其次是硬體邊界攻擊。手機螢幕雖然有圓角或相機挖孔，但底層的 Frame Buffer（幀緩衝區，儲存螢幕影像的記憶體區域）依然是矩形的。這意味著在螢幕邊緣被遮擋的像素依然會出現在截圖中，駭客可以將指令藏在這些死角裡。
最後是截圖競態條件（Race Condition）。許多框架的流程是先將截圖儲存在手機儲存空間（如 /sdcard/tmp.png），再由 PC 端的 ADB pull 將圖片抓回。這中間存在約 210 毫秒的時間差。惡意 App 若能以高頻率監控檔案系統，可以在 AI 抓圖前的一瞬間，將圖片替換成包含惡意指令的版本。
第二階段：從手機端到 PC 端的命令注入（RCE）
這是最致命的環節。AI Agent 為了控制手機，通常會使用 ADB（Android Debug Bridge，Android 偵錯橋）來發送指令。
問題出在許多框架將 AI 產出的文字直接拼接進 shell 指令中。例如使用 Python 的 subprocess.run(adb_command, shell=True)，且沒有對輸入內容進行適當的 Sanitization（清理/過濾）。
當 AI 讀到隱形指令並嘗試將其輸入到手機時，如果指令包含 shell 特殊字元（如分號 ; 或 管道符號 ），這些字元會被 PC 端的 shell 解析。結果就是：AI 本來想在手機上輸入文字，卻意外在控制端 PC 上執行了系統指令（Remote Code Execution, RCE），例如直接開啟計算機或讀取回系統路徑。
第三階段：憑證竊取與權限濫用
除了攻擊 PC，這些框架在手機端也缺乏基本的輸入驗證。
有些框架為了簡化輸入，會使用 ADB Keyboard 等第三方工具透過 Broadcast（廣播機制）傳送文字。由於這種機制缺乏權限驗證，任何惡意 App 只要註冊相同的接收動作，就能在背景靜默地截獲 AI Agent 輸入的所有文字，包括使用者的帳號密碼。
此外，AI Agent 完全沒有身份驗證意識。研究人員發現，只要用惡意 App 彈出一個偽造的登入視窗，AI Agent 會毫不猶豫地將使用者的憑證輸入進去，而不會像人類一樣對突然出現的登入要求感到懷疑。
實務上的防禦建議
對於開發 AI Agent 的工程師來說，這提供了一個深刻的教訓：永遠不要把 LLM（大語言模型）當作安全邊界。模型產出的內容應被視為不可信的外部輸入。
在實作上，應採取以下措施：
第一，禁用 shell=True。在執行系統指令時，應使用參數列表（argv lists）而非字串拼接，確保特殊字元被視為純文字而非指令。
第二，消除檔案中轉。應改用串流（Streaming）方式傳輸截圖，避免將圖片寫入手機儲存空間，從根本上消除截圖被篡改的機會。
第三，強化輸入通道。使用具有簽名驗證的權限控制（Signature-level permission）來保護輸入廣播，避免憑證被第三方 App 竊聽。
第四，視覺前處理。在將截圖交給 AI 之前，先進行對比度增強或遮蔽螢幕邊緣，以減少隱形指令的攻擊面。
總結來說，這類開源工具目前大多處於研究階段，缺乏完善的安全性考量。對於使用者而言，開啟 USB 偵錯並運行未經驗證的 AI Agent 框架，等同於將電腦的系統權限交給了一個隨時可能被誘導的 AI。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。