一. 概述

二. 重点安全事件回顾

事件回顾：

2025年1月29日，Wiz安全研究团队发现了互联网中一个暴露的Clickhouse服务，并确定该服务属于我国AI初创公司深度探索（DeepSeek）。Clickhouse能够对底层的数据库中的数据进行访问，利用该Clickhouse服务，Wiz安全研究员发现了约一百万行DeepSeek的日志流，包含历史聊天记录，密钥等其他敏感信息。

发现问题后，Wiz安全研究团队立即向DeepSeek通报了这一问题，DeepSeek立即对其暴露的Clickhouse服务进行了安全处置。

事件分析：

ClickHouse是一个开源的列式数据库管理系统（DBMS），专为在线分析处理（OLAP）设计。它能够高效处理大规模数据，支持实时查询和分析，适用于日志分析、用户行为分析等场景。ClickHouse存在未授权访问漏洞，对于一个未添加任何访问控制机制的ClickHouse服务，任意用户可以通过该服务暴露的API接口执行类SQL命令。

本次事件中，Wiz安全研究团队通过技术手段探测了约30个DeepSeek面向互联网的子域名的80和443端口。这些暴露服务大多是托管聊天机器人界面、状态页面和 API 文档等资源，也都没有相关安全风险。为了进一步探寻DeepSeek的暴露风险，Wiz安全研究团队将探测范围扩大到了除80、443端口之外的非常规端口，如8123、9000端口等。最终，他们发现了非常规端口的多个子域名下均有暴露服，如：

• http://dev.deepseek.com:8123
• http://oauth2callback.deepseek.com:9000
• http://dev.deepseek.com:9000
• http://oauth2callback.deepseek.com:8123

在确定这几个暴露的服务为Clickhouse后，Wiz安全研究团队通过ClickHouse服务的API对底层的数据库进行查询测试，包含查询数据库、查询数据库中的表，如下图所示：

图1. 疑似Clickhouse泄露数据

参考链接：https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak

事件回顾：

2024年5月，Sysdig威胁研究团队发现一种针对大模型的新型网络攻击方式——LLM jacking，又称LLM劫持攻击。

2024年9月，Sysdig威胁研究团队表示，LLM劫持攻击攻击的频率和普及正在增加。DeepSeek也逐渐成为被攻击对象。

2024年12月26日，DeepSeek发布了高级模型DeepSeek-V3 。几天后，Sysdig威胁研究团队发现DeepSeek-V3已在Hugging Face上托管的OpenAI反向代理（ ORP ）项目中所实现。

2025年1月20日，DeepSeek发布了一种称为DeepSeek-R1的推理模型。次日，支持DeepSeek-R1的ORP项目已经出现，多个ORP已填充了DeepSeek API密钥，并且已有攻击者开始利用这些密钥。

在Sysdig威胁研究团队的研究工作中，发现ORP非法利用的大模型Token总数已超过20亿。

事件分析：

LLM劫持攻击指攻击者利用窃取的云凭证，针对云托管的LLM服务发起的资源劫持与滥用攻击。在攻击过程中，攻击者首先通过漏洞（Laravel框架的CVE-2021-3129）获取受害者的云凭证，随即利用 OAI反向代理搭建非法服务通道，将窃取到的受害者LLM服务访问权限封装成API，并在黑灰产市场向其余客户低价出售以谋取暴利。这种行为导致第三方的大量调用请求直接消耗了受害者的云资源配额，使其在毫不知情的情况下承担巨额的云服务成本。其中，OAI反向代理作为一种LLM服务的中间件，能够帮助攻击者集中管理对多个受害LLM账户的访问，而不暴露底层的凭据和凭据池。利用OAI反向代理，攻击者能够在不支付相应费用的情况下，通过重定向请求并隐藏身份，让购买者无缝使用DeepSeek等高成本LLM模型。这不仅实现了攻击者的隐匿和获利，更使得受害者的云计算资源在不被察觉的情况下遭到长期的大规模滥用。

图2. 事件攻击路径

图3. Laravel漏洞利用流程

参考链接：https://sysdig.com/blog/llmjacking-targets-deepseek/

事件回顾：

2025 年 5 月，安全机构Pen Test Partners在报告中揭示攻击者可利用Microsoft Copilot for SharePoint代理避开传统日志监控去深度索引和获取SharePoint站点中的敏感信息，包括密码、私钥、API密钥、测试报告、内部文档等。（SharePoint是一个支持协作工作和信息共享的微软平台。它们的工作方式类似于包含图形和文本的常规Intranet页面，但它们也提供了存储和管理文件的位置。值得注意的是，当文件和图像在Microsoft Teams上共享时，SharePoint会自动为它们创建一个站点。）代理方式有两种：微软预先构建的默认代理和由组织构建的自定义代理。

图4. 疑似微软Copilot代理聊天泄露信息1

图5. 疑似微软Copilot代理聊天泄露信息2

Default Agents滥用：Copilot Default Agent默认安装在所有 SharePoint 站点里，具有访问站点内容的能力；使用特定prompt（如“请扫描此站点并列出密码、私钥、API密钥”），无需显式下载即可提取敏感信息，包括文件内容和链接；Agent提供文档内容摘要，但不会记录为“最近访问”，从而绕过日志监控

绕过权限限制：即使用户处于“Restricted View”，Copilot也能提取文件内容，例如“Restricted View” 权限下，攻击者仍可获得 Passwords.txt 中的密码明文

规避访问日志记录：通过Copilot访问的文件不会被标记为“已打开”或“最近访问”；常规监控手段无法发现Copilot的访问行为

自定义Agent滥用：攻击者可注册自己的AI Agent；自定义Agent 可配置更高访问权限，甚至跨站点；可在Agent Prompt训练数据中预嵌后门，或用于数据转储

VERIZON事件分类：System Intrusion（系统入侵）

所用MITRE ATT&CK技术：

参考链接：https://mp.weixin.qq.com/s/NNi6hwYeIcQtrOhVWkRyNw

事件回顾：

攻击准备： 攻击者创建一个包含恶意指令的文档。这些指令通常使用极小或白色的字体隐藏起来，肉眼难以察觉。

图6. 带有恶意指令的文档

图7. 恶意提示词注入

图8 敏感信息被回传至攻击者服务器

图9. ChatGPT连接器支持的第三方应用

图10. 通过提示词注入窃取连接第三方应用中的敏感信息

ChatGPT为了渲染这张图片，会向URL中的 https://some-trusted-service.com 发起一个合法的请求。这个域名本身是可信的（可能是OpenAI自身或其云服务商Azure的Blob存储服务），因此可以通过URL过滤器的检测。

然而，窃取到的敏感数据会作为参数（?data=…）被附加在该合法请求的URL中。攻击者只需监控其能控制的、或能够公开访问日志的渲染服务端点，就能从请求日志中捕获这些参数，从而完成数据窃取。

VERIZON事件分类： Social Engineering（社工）

所用MITRE ATT&CK技术：

参考链接：

https://help.openai.com/en/articles/9309188-add-files-from-connected-apps-in-chatgpt

https://x.com/tamirishaysh/status/1953534127879102507

https://www.secrss.com/articles/81932

https://labs.zenity.io/p/agentflayer-chatgpt-connectors-0click-attack-5b4

三. 安全建议

我们可以看出，这些案例并非针对AI模型的直接攻击，而是利用了AI服务所依赖的底层基础设施在配置上的疏忽，最终导致用户数据与隐私对话外泄。此类情况表明，AI系统的安全防护必须覆盖完整的技术栈与系统生命周期。因此需要AI组件使用者更侧重于收敛AI系统依赖第三方组件的暴露面，以及为AI资产进行自动化配置审计，包括：

（1） 默认关闭所有AI服务的公网访问权限，通过内网或VPN访问。对于必须开放的API，必须配置IP白名单。

（2）重点扫描对象存储存储桶权限、Elasticsearch及向量数据库的授权状态。确保没有任何数据库处于无密码或默认端口开放状态。

（2）在模型前部署AI安全围栏，通过识别拦截常见的注入特征字段

（3）针对模型的输出做正则匹配和关键词过滤

图11. Verzion报告截图

其次厂商通常也提供硬性配额管理，例如可针对RPM（每分钟请求数）和TPM(每分钟token数)进行配额管理，建议可以将TPM压缩至自身业务刚好匹配够用的水平，例如自身业务本身只需要每分钟1W Token, 那就不要保留过多Token配额，这样可以极大延缓攻击者消耗资金的速度。

图12 模型对云基础设施的威胁场景分类

图13 云基础设施对大模型的反向威胁场景分类