邮件藏指令即可劫持：Manus 智能体被曝可被间接提示注入利用

Salt Security 旗下研究团队 Salt Labs 披露，一封恶意邮件就足以劫持通用 AI 智能体 Manus，并触达用户关联服务的凭据。研究人员表示，该漏洞目前已被修复，相关攻击手法不再有效。

Manus 是一款通用型智能体平台，可以替用户完成资料检索、数据分析和软件开发等任务。此次攻击并不需要直接向智能体下达恶意指令，而是采用间接提示注入：研究人员把恶意命令藏在一封邮件里，当用户要求 Manus 查看收件箱时，智能体把邮件内容当成了要执行的指令。

值得注意的是，在最初的测试中，Manus 其实识别出了这条恶意命令并发出警告。研究人员随后用 JavaScript 代码混淆来伪装指令，Manus 解码并执行了隐藏代码，之后才生成安全警告。研究人员认为，这正是整件事的关键：系统能识别可疑行为，但警告出现在智能体已经行动之后。

借助建立起来的反向 shell，Salt Labs 称其找到了与该用户 Manus 账户所连接服务相关的凭据和令牌。若发生在真实攻击中，这些访问权限可能延伸到邮箱、云存储或代码仓库。整个攻击不需要窃取密码、不需要恶意链接，受害者除了让 Manus 查看邮件之外无需任何额外操作。

Salt Labs 表示已向 Manus 报告该问题但未获回应，随后通过 Meta 的漏洞赏金计划提交。Meta 确认并修复了该问题，Salt Labs 之后多次尝试复现均未成功。据介绍，这项研究在今年早些时候完成，当时 Meta 正筹备收购 Manus；该交易最终未能推进，两家公司目前仍各自独立。

Salt Security 研究负责人 Yaniv Balmas 在评论中表示，护栏对任何处理不可信输入的智能体系统都很重要，但“往往并不足够”，设计者应构建分层的稳健防御，而不是指望护栏承担全部防护。

这一事件折射出自主系统特有的安全问题：如果智能体能在人工介入之前先执行动作，那么仅仅“检测到”并不等于防住了。随着越来越多助手获得读取邮件、浏览文件和调用关联服务的能力，“已检测”与“已执行”之间的时间差，正是风险如今所在的地方。