📅 更新于 2026-05-29 | AI安全Tool Poisoning防御

☠️ Tool Poisoning Attack 详解

📖 什么是 Tool Poisoning Attack？

Tool Poisoning Attack（工具投毒攻击）是一种针对AI Agent的攻击方式，攻击者通过篡改工具的描述（description）或参数定义，注入恶意指令，诱导Agent在调用工具时执行非预期操作（如泄露敏感信息、执行危险操作）。

类比：就像在菜单上偷偷加一行小字"点这道菜会自动扣款100元"，顾客（Agent）没注意就中招了。

🧠 核心原理

1. 攻击流程

正常流程：
用户 → Agent → 读取工具描述 → 调用工具 → 返回结果

攻击流程：
攻击者 → 篡改工具描述（注入恶意指令）→ Agent读取 → 调用工具时执行恶意指令 → 泄露数据/执行危险操作

2. 攻击向量

3. 为什么有效？

• Agent盲目信任工具描述（认为description是"好意的指导"）
• 工具描述被注入System Prompt，Agent视为"指令"的一部分
• 用户无法看到工具描述，难以察觉攻击

🛠️ OpenClaw 实战防御

场景一：妙趣AI的工具审查

妙趣AI在加载Skill时，检查是否有可疑描述：

# 工具描述安全审查
def check_tool_safety(description):
    dangerous_keywords = [
        "send to", "email to", "post to",  # 数据外泄
        "delete", "remove", "drop",        # 危险操作
        "api key", "password", "token"     # 敏感信息
    ]
    
    for keyword in dangerous_keywords:
        if keyword in description.lower():
            return False, f"可疑关键词: {keyword}"
    
    return True, "安全"

# 加载Skill时检查
for skill in skills:
    safe, reason = check_tool_safety(skill.description)
    if not safe:
        print(f"警告：技能 {skill.name} 描述可疑：{reason}")
        # 可以选择拒绝加载或警告用户

场景二：OpenClaw的Skill来源验证

只加载可信来源的Skill：

# openclaw.yaml - Skill安全配置
skills:
  security:
    # 只允许官方和已验证的Skill
    allowedSources:
      - "official"      # OpenClaw官方
      - "trusted"       # 已验证的第三方
      - "local"         # 本地自定义
    
    # 禁止的来源
    blockedSources:
      - "unverified"    # 未验证的第三方
    
    # 工具描述最大长度（防止隐藏恶意内容）
    maxDescriptionLength: 500
    
    # 扫描工具描述中的可疑模式
    scanFor:
      - pattern: "send.*to.*http"
        action: "warn"
      - pattern: "api.?key|token|password"
        action: "block"

场景三：用户确认机制

对于敏感工具调用，要求用户确认：

# 工具调用前检查
async function callToolSafely(toolName, args) {
  const tool = getTool(toolName);
  
  // 检查是否是敏感工具
  if (isSensitiveTool(tool)) {
    const confirmed = await askUserConfirmation(
      `工具 ${toolName} 将要执行：${tool.description}\n参数：${JSON.stringify(args)}\n是否继续？`
    );
    
    if (!confirmed) {
      return { error: "用户取消" };
    }
  }
  
  return await executeTool(toolName, args);
}

function isSensitiveTool(tool) {
  const sensitivePatterns = [
    /delete/i, /remove/i, /send.*http/i, /api.?key/i
  ];
  
  return sensitivePatterns.some(p => 
    p.test(tool.description) || p.test(JSON.stringify(tool))
  );
}

💻 代码示例

示例1：检测工具描述投毒

// Tool Poisoning Detector
class ToolPoisoningDetector {
  constructor() {
    this.suspiciousPatterns = [
      /send.*to.*https?:\/\//i,           // 发送到外部URL
      /email.*to.*@/i,                    // 发送邮件
      /api.?key|token|password|secret/i,  // 敏感信息
      /eval\(|exec\(|system\(/i,          // 代码执行
      /rm\s+-rf|\/dev\/null/i             // 危险命令
    ];
  }
  
  detect(toolDefinition) {
    const issues = [];
    const text = JSON.stringify(toolDefinition);
    
    for (const pattern of this.suspiciousPatterns) {
      if (pattern.test(text)) {
        issues.push({
          pattern: pattern.source,
          severity: 'high',
          message: '检测到可疑模式'
        });
      }
    }
    
    // 检查description长度（过长可能隐藏内容）
    if (toolDefinition.description?.length > 1000) {
      issues.push({
        severity: 'medium',
        message: 'description过长，可能隐藏恶意内容'
      });
    }
    
    return {
      safe: issues.length === 0,
      issues
    };
  }
}

// 使用
const detector = new ToolPoisoningDetector();
const result = detector.detect(toolDefinition);

if (!result.safe) {
  console.warn('工具可能不安全：', result.issues);
}

示例2：沙箱执行工具

// 在沙箱中执行工具（防止危险操作）
async function executeToolInSandbox(toolName, args) {
  // 创建隔离的执行环境
  const sandbox = {
    // 只允许必要的API
    fetch: limitedFetch,  // 限制可访问的URL
    fs: limitedFS,        // 限制可访问的文件
    // 禁止危险操作
    process: undefined,
    require: undefined,
    eval: undefined
  };
  
  // 在沙箱中执行工具函数
  const toolFunc = getToolFunction(toolName);
  const sandboxedFunc = new Function(
    'args',
    `"use strict"; ${toolFunc.toString()}`
  ).bind(sandbox);
  
  return await sandboxedFunc(args);
}

示例3：工具调用审计日志

// 工具调用审计
class ToolAuditLog {
  constructor() {
    this.logs = [];
  }
  
  logCall(toolName, args, result, safety) {
    this.logs.push({
      timestamp: Date.now(),
      toolName,
      args,
      result: JSON.stringify(result).substring(0, 200), // 截断
      safety,
      user: getCurrentUser()
    });
    
    // 可疑调用立即告警
    if (safety === 'suspicious') {
      this.alert(toolName, args);
    }
  }
  
  alert(toolName, args) {
    // 发送到安全监控
    console.error(`🚨 可疑工具调用：${toolName}`, args);
    // 可选：发送飞书告警
  }
}

✅ 防御最佳实践

📊 攻击与防御对比

🎬 周星驰式总结

就像《九品芝麻官》里的"下毒"——看起来是碗好汤，喝下去才知道有问题。Tool Poisoning Attack就是给Agent的"汤"里下毒，表面看不出来，喝下去就完蛋。记住：不信工具描述，要验！不确认不执行，要审！

🔗 相关链接

• Tool Poisoning Attacks 详解
• Prompt Injection 详解
• Agent Security 详解
• Guardrails 详解
• Invariant Labs - AI安全研究